Download Ein modellbasiertes Sicherheitskonzept für die extrakorporale
Transcript
Department of Computer Science Technical Report Ein modellbasiertes Sicherheitskonzept für die extrakorporale Lungenunterstützung André Stollenwerk · ISSN 0935–3232 RWTH Aachen · Aachener Informatik-Berichte Department of Computer Science · AIB-2013-7 · Juli 2013 The publications of the Department of Computer Science of RWTH Aachen University are in general accessible through the World Wide Web. http://aib.informatik.rwth-aachen.de/ Ein modellbasiertes Sicherheitskonzept für die extrakorporale Lungenunterstützung Von der Fakultät für Mathematik, Informatik und Naturwissenschaften der RWTH Aachen University zur Erlangung des akademischen Grades eines Doktors der Ingenieurwissenschaften genehmigte Dissertation vorgelegt von Diplom-Ingenieur André Stollenwerk aus Simmerath Berichter: Universitätsprofessor Dr.-Ing. Stefan Kowalewski Universitätsprofessor Dr.-Ing. Dr. med. Steffen Leonhardt Tag der mündlichen Prüfung: 12. Juli 2013 Diese Dissertation ist auf den Internetseiten der Hochschulbibliothek online verfügbar. Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar. Zugl.: D 82 (Diss. RWTH Aachen University, 2013) André Stollenwerk Lehrstuhl Informatik 11 [email protected] Aachener Informatik Bericht AIB-2013-7 Herausgeber: Fachgruppe Informatik RWTH Aachen University Ahornstr. 55 52074 Aachen GERMANY ISSN 0935-3232 Copyright Shaker Verlag 2013 Alle Rechte, auch das des auszugsweisen Nachdruckes, der auszugsweisen oder vollständigen Wiedergabe, der Speicherung in Datenverarbeitungsanlagen und der Übersetzung, vorbehalten. Printed in Germany. ISBN 978-3-8440-2239-1 Shaker Verlag GmbH • Postfach 101818 • 52018 Aachen Telefon: 02407 / 95 96 - 0 • Telefax: 02407 / 95 96 - 9 Internet: www.shaker.de • E-Mail: [email protected] Zusammenfassung Die extrakorporale Lungenunterstützung (ECLA) als intensivmedizinische Behandlung des akuten progressiven Lungenversagens (ARDS) wird heutzutage nur als Ultima-RatioTherapie eingesetzt. Dies ist nicht zuletzt der Komplexität der Anwendung und den mit ihr verbundenen Risiken geschuldet. Zur Überwindung dieses Missstandes wurde das Projekt SmartECLA initiiert. Ziel war es, die Anwendung der ECLA durch konstruktive Verbesserungen, aber auch die Etablierung eines Regelungs- und Sicherheitskonzeptes für ein breiteres Anwendungsfeld zu öffnen. Die vorliegende Arbeit stellt ein Sicherheitskonzept für eine patientenorientiert geregelte ECLA vor. Das eingesetzte System wurde durch eine Fehlermöglichkeits- und -Einflussanalyse (FMEA) sowie eine Fehlerbaumanalyse (FTA) untersucht. Davon ausgehend wurden Modelle entwickelt, die helfen Fehlerereignisse zu erkennen und den Systemzustand abzuschätzen. Die erarbeiteten Modelle überwachen kontinuierliche Prozesse, wie die Abnutzung des eingesetzten Oxygenators oder die Rezirkulation innerhalb der Vena cava des Patienten durch die extrakorporale Zirkulation, aber auch diskrete Ereignisse wie das Ansaugen der Entnahmegefäßwand an die Kanüle oder Abweichungen der eingesetzten Blutpumpe von der zu erwartenden Charakteristik. Dadurch können Fehlerfälle gezielt erkannt werden. Die erarbeiteten Modelle adressieren methodisch die zuvor identifizierten möglichen Fehlerquellen, um so eine Gefährdung des Patienten, ausgehend von einer Fehlfunktion der eingesetzten Komponenten, zu unterbinden. Das Sicherheitskonzept wird auf einem Netzwerk aus dezentralen Sicherheitsknoten mithilfe einer eigens entwickelten Softwarearchitektur implementiert. Die Architektur ermöglicht eine effiziente Abschätzung – somit auch Planung – der zur Verfügung stehenden Ressourcen. Ein im Systemkonzept verankertes Datenmanagement ermöglicht dabei ausgehend von einem statischen Datenhaltungsmodul die Planung. Ausgehend von den durch die eingebetteten Anwendungen deklarierten Bedürfnissen werden nur die notwendigen Datenstrukturen bzw. Algorithmen in Code abgebildet. Neue Modelle und Anwendungen können durch variable Entwicklungspfade unter Verwendung der für sie effizientesten Werkzeuge und Umgebungen erstellt werden. Der entwickelte Systemaufbau fußt auf einer modularen, aber elektrisch robusten Hardwareplattform, die bedarfsorientiert an den jeweiligen Einsatzpunkt angepasst werden kann. Auf diese Weise können Energieverbrauch, Kosten und Entwicklungsaufwand minimiert werden. Eine auf der entworfenen Hardwareplattform basierende Weiterentwicklung ist die geschaffene Konsole zur Steuerung der eingesetzten Diagonalblutpumpe mit integrierter Blutflussregelung. Die in dieser Arbeit vorgestellten Ergebnisse machen einen Teil der benötigten Innovationen aus, welche es ermöglichten, im Rahmen des Projektes SmartECLA einen Machbarkeitsnachweis für die sichere Durchführung einer automatisierten ECLA zu erbringen. i Abstract Extracorporeal lung assist (ECLA) is currently used as a last resort in the treatment of acute respiratory distress syndrome (ARDS). This is not least due to the complexity of the application and the associated risks. To overcome this drawback, the SmartECLA project has been carried out with the aims of applying constructive design improvements to the ECLA and also establishing a control and safety concept. This thesis elaborates on a safety concept for a patient-centered, controlled ECLA. A system analysis that recognizes errors and helps estimate the system state, based on a Failure Mode and Effects Analysis (FMEA) as well as Fault Tree Analysis (FTA), was initially carried out. Models were developed, which specifically detect continuous processes and monitor the condition of the used oxygenator or recirculation within the vena cava of the patient caused by extracorporeal circulation, as well as discrete events such as the suction of the discharging vessel wall to the cannula or deviations of the blood pump behavior from the expected pattern, e. g. caused by gas in the bloodstream. The developed models selectively substantiate the previously identified potential sources of errors. Thus, patient safety can be ensured should components malfunction. This safety concept is implemented on a network of distributed safety nodes using an elaborated software architecture. This architecture enables efficient assessment, and hence sound planning of the available resources. This predictability is achieved by data management in the system concept based on a static data module, which only projects the data structures and algorithms in code required due to embedded applications. Various development paths are simultaneously supported, thus new models and applications can be mapped efficiently. The developed system setup is based on a modular structured and electrically robust hardware platform that can be adapted to the specific application needs. Hence, energy consumption, costs and development costs can be minimized. One further development based on the designed hardware platform is the developed console to control the utilized diagonal blood pump with integrated blood flow control unit. The results presented in this thesis are a part of the essential innovations, which enabled a proof-of-concept for the sound conduct of an automated ECLA. ii Danksagung Ich möchte Herrn Prof. Dr.-Ing. Stefan Kowalewski meinen Dank aussprechen und mich für das mir entgegengebrachte Vertrauen, aber vor allem die eingeräumten Freiheiten bedanken. Herrn Prof. Dr.-Ing. Dr. med. Steffen Leonhardt möchte ich für die wertvollen Hinweise zu dieser Arbeit, aber auch für die erfolgreiche Zusammenarbeit danken. Ich danke Herrn Prof. Dr. rer. nat. Thomas Seidl und Herrn Prof. Dr. rer. nat. Peter Rossmanith für ihre Teilnahme an der Prüfungskommission. Die in dieser Arbeit erzielten Ergebnisse wäre nicht ohne die sehr angenehme und produktive Zusammenarbeit im Rahmen des Projektes SmartECLA möglich gewesen. Daher danke ich Jutta, Marian, Ralf und Rüdger für die Diskussionen, die Erläuterungen aber auch den Spaß im Projekt. Im weiteren Projektumfeld möchte ich Steffi für die geführten Diskussionen und die Beflügelung meiner blühenden Fantasie danken. Meinen Kollegen vom Lehrstuhl möchte ich für das angenehme Arbeitsklima und die fruchtbaren Gespräche danken. Im Speziellen möchte ich Andreas für seine Unterstützung in Form von Diskussionen aber auch vor allem durch sein verlässliches Anpacken danken. Die Ergebnisse dieser Arbeit wären ohne die Unterstützung von vielen Studenten nicht möglich gewesen. Daher danke ich allen Abschlussarbeitern und Hiwis, die mich auf meinem Weg unterstützt und begleitet haben. Ich danke meinem Freundeskreis, der mich über all die Jahre begleitet, aber auch ertragen hat. Explizit danke ich Christoph, Magnus und Sepp für immer wiederkehrende Diskussionen, die vielfältigste Inspirationen für diese Arbeit geliefert haben. Ich danke Fred für seinen blühenden Ideenreichtum und seine fruchtbare Fotosynthese. Final möchte ich mich bei meiner Familie bedanken ohne deren Unterstützung über all die Jahre ich vermutlich nicht bis zu diesem Punkt gekommen wäre und ohne die in dieser Arbeit vermutlich noch der ein oder andere orthografische Fehler mehr versteckt wäre. Im Speziellen danke ich Kathrin für die Unterstützung, die Motivation und ihre Geduld. iii Inhaltsverzeichnis 1 Einleitung 1.1 Motivation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.2 Struktur der Arbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.3 Bibliografische Hinweise . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 Grundlagen 2.1 Physiologische Grundlagen . . . . . . . . . . . 2.1.1 Kreislauf . . . . . . . . . . . . . . . . . 2.1.2 Stoffwechsel . . . . . . . . . . . . . . . 2.1.3 Blut – Aufbau und Zusammensetzung . 2.1.4 Gastransport im Blut . . . . . . . . . . 2.2 Modellbegriffe . . . . . . . . . . . . . . . . . . 2.3 Gesetze und Normen . . . . . . . . . . . . . . 3 ARDS und ECLA 3.1 Akutes Lungenversagen . . . . . . . . . . . . . 3.1.1 Historie . . . . . . . . . . . . . . . . . 3.1.2 Definition des ARDS . . . . . . . . . . 3.1.3 Ätiologie . . . . . . . . . . . . . . . . . 3.1.4 Inzidenz und Letalität . . . . . . . . . 3.1.5 Therapieformen . . . . . . . . . . . . . 3.2 Extrakorporale Lungenunterstützung (ECLA) 3.2.1 Konfigurationen der ECLA . . . . . . . 3.2.2 Limitierungen der ECLA . . . . . . . . 3.3 Projektziele von SmartECLA . . . . . . . . . 3.4 Projektansatz von SmartECLA . . . . . . . . 3.5 Systemaufbau . . . . . . . . . . . . . . . . . . 3.5.1 Sensoren . . . . . . . . . . . . . . . . . 3.5.2 Datenverarbeitung . . . . . . . . . . . 3.5.3 Aktoren . . . . . . . . . . . . . . . . . 3.5.4 Weitere Medizingeräte . . . . . . . . . 3.6 Regelungskonzept . . . . . . . . . . . . . . . . 3.7 Verwandte Arbeiten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 1 2 2 . . . . . . . 5 5 5 7 7 11 15 18 . . . . . . . . . . . . . . . . . . 19 19 19 20 20 21 21 22 23 27 29 29 30 31 33 35 37 39 43 4 Sicherheitskonzept 45 4.1 Sicherheitsziele . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 v Inhaltsverzeichnis 4.2 Projektspezifische Analysen des Systemaufbaus . . . . . . . . . . . . . . 4.2.1 Fehlermöglichkeits- und -Einflussanalyse . . . . . . . . . . . . . . 4.2.2 Fehlerbaumanalyse . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Modellbasierte Sicherheitsmaßnahmen 5.1 Messwertvalidierung . . . . . . . . . . . . . . . . . . . . . . 5.1.1 Plausibilitätsüberprüfung . . . . . . . . . . . . . . . 5.1.2 Modellbasierte Diagnose . . . . . . . . . . . . . . . . 5.2 Stellwertvalidierung . . . . . . . . . . . . . . . . . . . . . . . 5.2.1 Extrakorporaler Blutfluss . . . . . . . . . . . . . . . . 5.2.2 Gasvolumenstrom durch den Oxygenator . . . . . . . 5.3 Aktuatordiagnose . . . . . . . . . . . . . . . . . . . . . . . . 5.3.1 Modellierung der Gasdiffusion durch den Oxygenator 5.3.2 Ansaugen der Entnahmekanüle . . . . . . . . . . . . 5.3.3 Modell der Blutpumpe . . . . . . . . . . . . . . . . . 5.3.4 Rezirkulation . . . . . . . . . . . . . . . . . . . . . . 6 Entwickelte Hardware 6.1 Mikrocontroller-Plattform . . . . . . . . . . . . 6.2 Druckmesser . . . . . . . . . . . . . . . . . . . . 6.3 Temperaturmesser . . . . . . . . . . . . . . . . 6.4 Pumpenkonsole . . . . . . . . . . . . . . . . . . 6.4.1 Modellbildung . . . . . . . . . . . . . . . 6.4.2 Regelung des extrakorporalen Blutflusses 7 Softwarekonzept zur Automatisierung der ECLA 7.1 Anforderungen . . . . . . . . . . . . . . . . . 7.2 Softwarearchitektur . . . . . . . . . . . . . . . 7.2.1 ChibiOS/RT . . . . . . . . . . . . . . . 7.2.2 PAM . . . . . . . . . . . . . . . . . . . 7.2.3 CAN-Protokoll . . . . . . . . . . . . . 7.2.4 Zeitsynchronisation . . . . . . . . . . . 7.2.5 Datenhaltung . . . . . . . . . . . . . . 7.3 Anwendungsentwicklung . . . . . . . . . . . . 7.3.1 MATLAB/Simulink . . . . . . . . . . . 7.4 Eigenschaften des Softwareframeworks . . . . 7.4.1 Entwicklungsablauf . . . . . . . . . . . 7.4.2 Erzielte Softwarearchitektur . . . . . . 7.4.3 Planbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46 46 49 . . . . . . . . . . . 51 51 51 51 58 58 60 66 66 69 73 79 . . . . . . 85 85 87 87 87 88 93 . . . . . . . . . . . . . 97 97 98 99 103 104 107 108 110 110 112 112 114 114 8 Zusammenfassung 117 9 Ausblick 119 vi Inhaltsverzeichnis A Anhang A.1 Algorithmische Berechnung des Sauerstoffpartialdrucks aus der A.2 Systemaufbau . . . . . . . . . . . . . . . . . . . . . . . . . . . A.2.1 Sensoren . . . . . . . . . . . . . . . . . . . . . . . . . . A.2.2 Datenverarbeitung . . . . . . . . . . . . . . . . . . . . A.2.3 Aktoren . . . . . . . . . . . . . . . . . . . . . . . . . . A.3 Hardwareplattform . . . . . . . . . . . . . . . . . . . . . . . . A.3.1 Pumpenkonsole . . . . . . . . . . . . . . . . . . . . . . A.4 Fehlermöglichkeits- und -Einflussanalyse . . . . . . . . . . . . A.5 Fehlerbaumanalyse . . . . . . . . . . . . . . . . . . . . . . . . A.6 Nachher Fehlerbaumanalyse . . . . . . . . . . . . . . . . . . . A.7 Algorithmus zur Detektion des Kanüleansaugens . . . . . . . . A.8 Algorithmus zur Auswertung der Rezirkulation . . . . . . . . . A.9 Tierversuche . . . . . . . . . . . . . . . . . . . . . . . . . . . . A.9.1 Versuchsaufbau . . . . . . . . . . . . . . . . . . . . . . -sättigung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121 121 122 122 124 124 125 127 128 135 143 151 152 153 153 vii Tabellenverzeichnis 2.1 Relevante Einflussfaktoren auf das Bindungsverhalten von Sauerstoff . . . 13 3.1 3.2 ARDS Definition nach dem Berliner Konsens 2011 [134] . . . . . . . . . . Relevante Konfigurationsparameter der ECLA . . . . . . . . . . . . . . . 20 26 4.1 Ausschnitt aus der angefertigten System-FMEA . . . . . . . . . . . . . . 48 5.1 Messgenauigkeiten der für die Sauerstoffmessung genutzten Messgrößen . 54 7.1 7.2 Nachrichtenklasse zur Einteilung der CAN-IDs [Göbe(2010)] . . . . . . . 106 Nachrichtensubklassen zur Einteilung der CAN-IDs [Göbe(2010)] . . . . . 106 A.1 Quantisierungsstufen für die . . . . . . . . . . . . . . . . . . . . . . . . . 129 A.2 Auflistung der durchgeführten Laborversuche . . . . . . . . . . . . . . . . 155 A.3 Auflistung der durchgeführten Tierversuche . . . . . . . . . . . . . . . . . 156 ix Abbildungsverzeichnis 2.1 2.2 2.3 2.4 2.5 2.6 2.7 Schematischer Aufbau des doppelten Blutkreislaufs des Menschen Der menschliche Blutkreislauf [169] . . . . . . . . . . . . . . . . . Zusammensetzung des menschlichen Blutes . . . . . . . . . . . . . Erythrozyten, Thrombozyten und Leukozyten [51] . . . . . . . . . Geldrollenbildung von Erythrozyten [57] . . . . . . . . . . . . . . Sauerstoffbindungskurve für Humanblut nach Gleichung (2.9) . . Sauerstoffkonzentrationsverlauf für Humanblut . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 8 9 9 10 13 15 3.1 3.2 3.3 3.4 3.5 3.6 3.7 3.8 3.9 3.10 3.11 3.12 3.13 Kanülierung der VV-ECLA [169] . . . . . . . . . . . . . . . . . . . . Entwicklung der jährlichen ECMO-Anwendungen [45] . . . . . . . . . SmartECLA-Regelungsstrategie [WSW+ 10] . . . . . . . . . . . . . . . Schematischer Systemaufbau im Projekt SmartECLA [SGW+ 11, 90] . Schematischer Aufbau des Ultraschall-Flusssensors [166] . . . . . . . . Vollständig bestücktes ASMO-Board . . . . . . . . . . . . . . . . . . Pumpenkopf der Medos DP2 mit eingezeichnetem Blutvolumenstrom Konsole zur Diagonalpumpenregelung [Gathmann(2011)] . . . . . . . Rasterelektronenmikroskopieaufnahme von Hohlfasermembranen [90] Verhalten der inneren Regelung bei Sollwertsprung . . . . . . . . . . Ausregelung der Störeinflüsse durch die künstliche Beatmung . . . . . Querempfindlichkeit der inneren Regler zueinander . . . . . . . . . . Physiologisch geregelter Betrieb der ECLA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 27 30 31 33 35 36 37 38 40 40 41 42 4.1 4.2 Analysiertes Modell des Systemaufbaus [SLW+ 10, Lang(2009)] . . . . . . Beispielhafter FTA-Ausschnitt [Jörgens(2010), Lang(2009)] . . . . . . . . 47 50 5.1 5.2 5.3 5.4 5.5 5.6 5.7 5.8 5.9 5.10 5.11 5.12 Validierung der Sauerstoffmessung [SLW+ 10, Lang(2009)] . . . . . . . . . Histogramm der relativen aus Messungenauigkeiten resultierenden Fehler Ausgewertete Messreihen des Tierversuches vom 16.02.2011 . . . . . . . . Ausgewertete Messreihen des Tierversuches vom 10.02.2011 . . . . . . . . Histogramm der errechneten relativen Fehler . . . . . . . . . . . . . . . . Signalverlauf beim Ausfall und Neustart des CDI 500 . . . . . . . . . . . Signalverlauf bei der Ansaugung der Entnahmekanüle an die Gefäßwand Signalverlauf beim Tausch des Pulmonaliskatheters . . . . . . . . . . . . Signalverlauf während der Messung des Pulmonalarterienverschlussdruckes Schematischer Aufbau eines Oxygenators [Becker(2012), 173] . . . . . . . Gas- und Blutfluss durch einen Medos Hilite 7000 [111] . . . . . . . . . . Druckmesspunkte im Systemaufbau [169] . . . . . . . . . . . . . . . . . . 52 55 56 56 57 57 58 59 59 60 61 62 xi Abbildungsverzeichnis 5.13 5.14 5.15 5.16 5.17 5.18 5.19 5.20 5.21 5.22 5.23 5.24 5.25 5.26 5.27 5.28 5.29 5.30 5.31 5.32 5.33 Vergleich von Druck-Volumenstrom-Diagrammen . . . . . . . . . . . . . . Druck-Volumenstrom-Diagramme von Blut- und Gasphase . . . . . . . . 3-Kompartimenten-Modells des Sauerstofftransfers [SJW+ 10, Jörgens(2010)] Vergleich der Diffusionssimulation mit Messwerten [SJW+ 10] . . . . . . . Verlauf des errechneten DO2 [SJW+ 10] . . . . . . . . . . . . . . . . . . . Blutfluss und Druck während des Ansaugens der Entnahmegefäßwand . . Spektrogramm des Blutflussmesssignals . . . . . . . . . . . . . . . . . . . Blutfluss und etabliertes Konfidenzmaß . . . . . . . . . . . . . . . . . . . Modell des Pumpenkennfeldes gemäß Gleichung (5.9) . . . . . . . . . . . Druckdifferenz durch die Blutpumpe (08.03.2011) . . . . . . . . . . . . . Pumpenmodell (14.02.2011) . . . . . . . . . . . . . . . . . . . . . . . . . Modellabweichung durch falsch eingestellten 3-Wege-Hahn . . . . . . . . Modellabweichung nach der Injektion von 0,5 ml Luft in den Blutkreislauf Ansaugen der Entnahmekanüle an die Blutgefäßwand . . . . . . . . . . . Schematische Darstellung einer Thermodilutionsmessung . . . . . . . . . Thermodilutionsmessreihe zur Quantisierung der Rezirkulation . . . . . . Temperaturverlauf mit dem Blutgasanalysator aufgenommen . . . . . . . Temperaturverlauf mit dem Blutgasanalysator CDI 500 (30.09.2010) . . . Rezirkulationsmessung (02.07.2009) . . . . . . . . . . . . . . . . . . . . . Rezirkulationsmessung (02.07.2009) . . . . . . . . . . . . . . . . . . . . . Rezirkulationsmessung (02.07.2009) . . . . . . . . . . . . . . . . . . . . . 63 64 67 68 69 70 71 72 74 75 76 77 78 79 80 81 82 83 83 84 84 6.1 6.2 6.3 6.4 6.5 6.6 6.7 6.8 Teilbestücktes ASMO-Board . . . . . . . . . . . . . . . . . . . . . . . . . Modell des Blutpumpensystems [Gathmann(2011)] . . . . . . . . . . . . Gemessene Kennlinie der eingesetzten Blutpumpe Medos DP2 . . . . . . Sprungantwort des Drehzahlregler-Motor Systems der Firma Maxon . . . Modellvalidierung Blutflussregelung . . . . . . . . . . . . . . . . . . . . . Bode-Diagramm des offenen Regelkreises [Gathmann(2011)] . . . . . . . Simulierte Sprungantwort der geschlossenen Regelung [Gathmann(2011)] Gemessene Sprungantwort [Gathmann(2011)] . . . . . . . . . . . . . . . 86 88 89 91 93 94 95 96 7.1 7.2 7.3 7.4 7.5 7.6 7.7 7.8 7.9 7.10 7.11 Software Architektur und resultierende Schnittstellen von ChibiOS/RT Kapselung von Hardwarezugriffen in ChibiOS/RT [39] . . . . . . . . . . Generischer Zustandsautomat der ChibiOS/RT Treiber . . . . . . . . . Schematischer Aufbau einer CAN-Nachricht [Obster(2011)] . . . . . . . Bitweise Strukturierung der CAN-ID [Göbe(2010)] . . . . . . . . . . . . Byteweise Strukturierung des Nutzdatenfeldes einer CAN-Nachricht . . Bereitstellung von Softwarestrukturen zur Datenhaltung [SGW+ 11] . . Beispielhaftes Simulink-Modell [SGW+ 11] . . . . . . . . . . . . . . . . Generierung des Datenhaltungsmoduls [Becker(2012), Göbe(2010)] . . . Ablauf zur Entwicklung von Anwendungen [SGW+ 11] . . . . . . . . . . Schematische Übersicht der etablierten Softwarearchitektur . . . . . . . . . . . . . . . . . . 100 101 101 104 106 107 109 111 112 113 114 A.1 Histogramm der RPZs der einzelnen Fehlerursachen . . . . . . . . . . . . 128 xii Abbildungsverzeichnis A.2 A.3 A.4 A.5 A.6 Veranschaulichung der genutzten Semantik FTA Semantik [Jörgens(2010)] Zur Detektion des Kanüleansaugens eingesetzter Algorithmus . . . . . . . Zur Auswertung der Rezirkulation eingesetzter Algorithmus . . . . . . . Apparativer Aufbau der Tierversuche . . . . . . . . . . . . . . . . . . . . Aufnahme aus Tierversuch mit Beschriftung . . . . . . . . . . . . . . . . 135 151 152 157 157 xiii Abkürzungsverzeichnis 2,3-BPG 2,3-Bisphosphoglycerat ACT ADU ALI API ARM ASMO AV-ECLA AWU activated clotting time Analog-Digital-Umsetzer Acute Lung Injury Programmierschnittstelle (engl. application programming interface) akutes progressives Lungenversagen (engl. Acute Respiratory Distress Syndrome) Advanced RISC Machines sichere Übersetzung (altgr. asphales metaschematizo) arterio-venöse ECLA anti-windup BFS BGA BNC BP Blutflusssensor Blutgasanalyse Bayonet Neill Concelman Blutpumpe ARDS CAN Controller Area Network CFD Computational Fluid Dynamics ChibiOS/RT einbegettetes Echtzeitbetriebssystem CO2 Kohlenstoffdioxid CPAP continuous positive airway pressure CPS cyber-physikalisches System CPU zentrale Recheneinheit CRC zyklische Redundanzprüfung DAU DIN DMA Digital-Analog-Umsetzer Deutsche Institut für Normung e. V. direkter Speicherzugriff (engl. direct memory access) ECLA extrakorporale Lungenunterstützung (engl. extracorporeal lung assist) extrakorporale Membranoxygenierung Elektrokardiogramm ECMO EKG xv Abkürzungsverzeichnis ELSO EN Extracorporeal Life Support Organization Europäische Norm FAT FDA FFT FTA File Allocation Table US Food and Drug Administration schnelle Fourier-Transformation (engl. fast Fourier transform) Fehlermöglichkeits- und -Einflussanalyse (engl. failure mode and effects analysis) Fehlerbaumanalyse (engl. fault tree analysis) GPL GNU General Public License HAL Hkt HLD HLM HZV Hardwareabstraktionsschicht (engl. hardware abstraction layer) Hämoglobingehalt Bikarbonat Highly Integrated Extracorporeal Membrane Oxygenator Hämatokrit High-Level-Treiber Herz-Lungen-Maschine Herzzeitvolumen IC ID IEEE IO ISO integrierter Schaltkreis (engl. integrated circuit) Identifier Institute of Electrical and Electronics Engineers input / output Internationale Organisation für Normung JTAG Joint Test Action Group (IEEE 1149.1) LCD LED LLD Liquid Crystal Display Leuchtdiode (Licht-emittierende Diode) Low-Level-Treiber MAC MATLAB Media Access Control Software MATrix LABoratory der Firma the Mathworks multiple input multiple output Multi Media Card Medizinproduktegesetz mutual exclusion FMEA Hb HCO− 3 HEXMO MIMO MMC MPG Mutex xvi Abkürzungsverzeichnis N2 Stickstoff O2 OSI Sauerstoff open systems interconnection PAL PAM PCWP Ports Abstraction Layer Predictable Appropriation Module Pulmonalarterienverschlussdruck (engl. pulmonary capillary wedge pressure) pumpenlose extrakorporale Lungenunterstützung (engl. pumpless extracorporeal lung assist) positive end-expiratory pressure Regler mit Proportional- und Integralanteil Polymethylpenten Polypropylen Polyvinylchlorid pECLA PEEP PI-Regler PMP PP PVC RCP RISC RPZ RS-232 RTOS Rapid Control Prototyping Reduced Instruction Set Computer Risikoproportionalitätszahl Electronic Industries Alliance - Radio Sector - Standard 232 Echtzeit-Betriebssystem (engl. real-time operating system) SD SGK SO2 SPI Secure Digital Swan-Ganz-Katheter Sauerstoffsättigung Serial Peripheral Interface TLC Target Language Compiler UART UML USART Universal Asynchronous Receiver Transmitter Unified Modeling Language Universal Synchronus / Asynchronous Receiver Ttransmitter VA-ECLA VV-ECLA veno-arterielle ECLA veno-venöse ECLA xvii Symbolverzeichnis α BO2 c ca,O2 cCO2 cGas cgv,O2 cO2 cv,O2 czv,O2 ∆p DO2 e η fN2 fO2 fiO2 f L Hb Hkt HZV i J kD K+ kR kS l M MLast nCO2 nGas Henry-Konstante [mol/l·mmHg] Sauerstoffbindungskoeffizient [mol/min] Stoffmengenkonzentration [mol/l] (vgl (2.2)) arterielle Stoffmengenkonzentration Sauerstoff [mol/l] Stoffmengenkonzentration Kohlenstoffdioxid [mol/l] Stoffmengenkonzentration eines allgemeinen Gases [mol/l] (vgl (2.2)) gemischtvenöse Stoffmengenkonzentration Sauerstoff [mol/l] Stoffmengenkonzentration Sauerstoff [mol/l] venöse Stoffmengenkonzentration Sauerstoff [mol/l] zentralvenöse Stoffmengenkonzentration Sauerstoff [mol/l] Druckdifferenz [mmHg] Sauerstoffdiffusionskoeffizient [mol·l/min·mmHg] Eulersche Zahl [einheitenlos] Viskosität [m2/s] Stickstoffanteil [einheitenlos] Sauerstoffanteil [einheitenlos] inspiratorischer Sauerstoffanteil [einheitenlos] Stoffmengenanteil [einheitenlos] Induktivität [H] Hämoglobingehalt [g/dl] Hämatokrit [einheitenlos] (vgl (2.1)) Herzzeitvolumen [l/min] elektrischer Strom [A] Trägheit [kg] Drehmomentkonstante [N·m/A] Konzentration freier Kalium-Ionen [mol/l] Reibungskoeffizient [N · m · s] Spannungskonstante [V · s] Länge [m] molare Masse [g/mol] Lastmoment [N · m] Stoffmenge Kohlenstoffdioxid [mol] Stoffmenge eines allgemeinen Gases [mol] xix Symbolverzeichnis nH nO2 pO2 ,50% ω pa CO2 pa O2 pBlut pCO2 pGas pH π pO2 pv CO2 pv O2 pZV Q QBlut QGas R r Sgv O2 SO2 Sp O2 Sv O2 T u V Vm ZS xx Hill-Koeffizient nH = 2,7 [einheitenlos] Stoffmenge Sauerstoff [mol] Halbsättigungsdruck [mmHg] Drehzahl [U/min] arterieller Kohlenstoffdioxidpartialdruck [mmHg] arterieller Sauerstoffpartialdruck [mmHg] Blutdruck [mmHg] Kohlenstoffdioxidpartialdruck [mmHg] Partialdruck eines allgemeinen Gases [mmHg] pH-Wert [einheitenlos] Kreiszahl [einheitenlos] Sauerstoffpartialdruck [mmHg] venöser Kohlenstoffdioxidpartialdruck [mmHg] venöser Sauerstoffpartialdruck [mmHg] zentralvenöser Blutdruck [mmHg] Volumenstom [l/min] Blutvolumenstom [l/min] Gasvolumenstom [l/min] elektrischer Widerstand [Ω] Radius [m] gemischtvenöse Sauerstoffsättigung [einheitenlos] Sauerstoffsättigung [einheitenlos] arteriell-periphere Sauerstoffsättigung [einheitenlos] venöse Sauerstoffsättigung [einheitenlos] Temperatur [K] elektrische Spannung [V] Volumen [l] molares Volumen Vm = 22,4 l/mol Strömungsimpedanz [mmHg·min/l] 1 Einleitung Das Lungenversagen stellt in der aktuellen Intensivmedizin eines der komplexesten Krankheitsbilder dar. Die besonders schwere Ausprägung, das akute progressive Lungenversagen (ARDS) (engl. Acute Respiratory Distress Syndrome), geht mit hohen Komplikationsund Mortalitätsraten einher. Als Therapieform haben sich die künstliche Beatmung, die medikamentöse Behandlung und Formen der Lagerungstherapie durchgesetzt. In besonders schweren Fällen des ARDS wird als Ultima Ratio1 die extrakorporale Lungenunterstützung (ECLA) (engl. extracorporal lung assist) eingesetzt. Während einer ECLA-Therapie wird dem Patienten Blut entnommen, dessen Blutgase werden außerhalb des Körpers in einem Oxygenator ausgetauscht und das Blut wird dem Patienten zurückgeführt. Auf diese Weise wird die Lunge in ihrer Funktion unterstützt und dadurch entlastet, sodass eine bessere Regenerierung ermöglicht wird. Aktuelle Einschränkungen der ECLA sind verschiedene Risiken für den Patienten: hohe Kosten sowohl durch kostenintensive Hardware als auch durch personalintensive Prozesse, und ein hoher apparativer Aufwand, der Fachkenntnisse der Pathologie und der technischen Hintergründe erfordert. Aufgrund der genannten Einschränkungen wird die ECLA weltweit in nur wenigen Zentren durchgeführt und dies lediglich dann, wenn alle konventionellen Therapieformen erfolglos ausgeschöpft wurden. 1.1 Motivation Diese Arbeit ist im Rahmen des Projektes SmartECLA entstanden, dessen Ziel die Weiterentwicklung der existierenden Form der ECLA war. Die Komponenten der ECLA wurden konstruktiv optimiert und zur besseren Kontrolle des Systems wurde ein kombiniertes Regelungs- und Sicherheitskonzept etabliert. Die erarbeiteten Eigenschaften wurden sowohl in Labor- als auch in Tierversuchen nachgewiesen. Das definierte Ziel des Projektes SmartECLA ist es, eine breite klinische Anwendung zu ermöglichen und dazu den ersten Machbarkeitsnachweis zu erbringen. Die angestrebte Regelungsstrategie versetzt Mediziner, die nicht hochgradig auf ECLA spezialisiert sind, in die Lage eine, entsprechende Therapie durchzuführen. Damit das System selbst unter der Präsenz von Fehlern und Störeinflüssen verlässlich eingesetzt werden kann, wurde zusätzlich ein Sicherheitskonzept für die ECLA erarbeitet. Dazu wurden verschiedene Modelle entwickelt, um kontinuierliche Prozesse wie die Abnutzung einzelner Komponenten, aber auch diskrete Ereignisse bzw. Fehlerfälle zu 1 lateinisch für (wörtlich) letzte Überlegung bzw. (sinngemäß) letzter Ausweg 1 1 Einleitung detektieren. Zusätzlich wurde eine modulare Hardwareplattform geschaffen, in die sowohl die entwickelten Modelle als auch weitere Aufgaben eingebettet werden konnten. Die so erzeugten cyber-physikalischen Systeme (CPS), die verteilte Datenknoten mit der physikalischen bzw. physiologischen Welt verbinden, wurden mit einer Softwarearchitektur ausgestattet, die eine effiziente und prädizierbare Einbettung der benötigten Anwendungen ermöglicht. 1.2 Struktur der Arbeit In Kapitel 2 werden die für diese Arbeit relevanten physiologischen Grundlagen erarbeitet, der im Feld der Medizintechnik ambivalent genutzte Begriff des Modells erläutert und die relevanten Gesetze und Normen eingeführt. Das ARDS als zu behandelnde Erkrankung mit ECLA als spezielle Therapieform wird in Kapitel 3 erläutert. Davon ausgehend wird das Projekt SmartECLA, in dessen Rahmen diese Arbeit entstanden ist, eingeführt. Die Motivation, Ziele und Ansätze des Projektes sowie der erarbeitete Systemaufbau werden vorgestellt. Die konzeptionellen Arbeiten zur Sicherheit der ECLA sowie eine Analyse des Systemaufbaus folgen in Kapitel 4. Die identifizierten, relevanten Risiken werden in Kapitel 5 durch entsprechende Modelle adressiert. Zusätzlich werden generische Überwachungsmaßnahmen und Modelle zur Nutzungsdiagnose eingeführt. Zur Umsetzung dieser Modelle wird in Kapitel 6 eine modulare Hardwareplattform vorgestellt, die den Systemaufbau als Netzwerk aus dezentralen Sicherheitsknoten ermöglicht. Diese Knoten werden als Basis für eine Blutpumpenkonsole mit integrierter Blutflusssteuerung genutzt. Die für die eingebetteten Knoten ausgearbeitete Software wird in Kapitel 7 vorgestellt. Die Arbeit schließt mit einer zusammenfassenden Bewertung in Kapitel 8 sowie einem Ausblick in Kapitel 9. 1.3 Bibliografische Hinweise In dieser Arbeit werden drei verschiedene Formate von Literaturangaben genutzt. Literaturmarken, die auf eigene Arbeiten des Authors verweisen, setzen sich aus den Anfangsbuchstaben der Nachnamen der bis zu vier ersten Autoren gefolgt vom Publikationsjahr zusammen. Ein Beispiel für eine eigene Publikation ist [SGW+ 11]. Die im Rahmen der Entstehung dieser Dissertation betreuten studentischen Abschlussarbeiten, werden durch den Nachnamen des Studenten, gefolgt vom Publikationsjahr, angegeben. Ein Beispiel für eine betreute Abschlussarbeit ist [Obster(2011)]. Alle weiteren Literaturangaben werden fortlaufend nummeriert angegeben. Ein Beispiel für eine weiterführende Literaturangabe ist [84]. Wörtliche Zitate sind explizit als solche durch Anführungszeichen kenntlich gemacht. Alle Bildzitate sind entsprechend in der Bildunterschrift kenntlich gemacht. Die in dieser Arbeit vorgestellten Ergebnisse sind zum Teil bereits publiziert oder beruhen teilweise auf betreuten Abschlussarbeiten, welche im Folgenden kurz erläutert werden: 2 1.3 Bibliografische Hinweise Ausgehend von einer Anforderungsanalyse an die eingesetzten Mikrocontrollerplattformen wurden verschiedene mögliche Evaluationsboards bewertet [Yang(2009)]. Vorbereitende Arbeiten für das Kommunikationsprotokoll wurden in [Khan(2009)] durchgeführt. Als Basis für weiterführende Arbeiten wurde ein erster Systemaufbau mit dem Konzept der dezentralen Sicherheitsknoten vorgestellt [SWW+ 09]. Für die weiterführende Entwicklung der Netzwerkknoten wurden existierende Erfahrungen einer modularen Mikrocontrollerplattform genutzt [SDKS10]. Zur Regelung der technischen Prozessgrößen des Oxygenators wurde eine Regelungsstrategie erarbeitet, welche die Eingangsgrößen des Mehrgrößensystems Oxygenator voneinander entkoppelt [WWS+ 09, WWK+ 09, LWW+ 09]. Zur Analyse des Systemaufbaus wurden Sicherheitsziele definiert und darauf basierend eine Auswirkungsanalyse und eine Fehlerbaumanalyse durchgeführt [Lang(2009), Jörgens(2010)] [SL09, SLW+ 10]. Ein Modell zur virtuellen Sauerstoffbilanzierung, mit dessen Hilfe die erhobenen Sauerstoffmesswerte validiert werden können, wurde erarbeitet [Lang(2009)] [SL09, SLW+ 10]. Zur Prädiktion der Oxygenatorlaufzeit wurde der Diffusionsprozess modelliert [Jörgens(2010)] [SJA+ 10, SJW+ 10]. Zur Integration verschiedener Anwendungen wurde das eingebettete Echtzeitbetriebssystem ChibiOS ausgewählt [Jongdee(2010)] und um eine Datenhaltung [Göbe(2010)], Zeitsynchronisation [Obster(2011)], durchgängige Hardwareabstraktion [Sehl(2012),Schüßler(2013)] und temporale Datenhaltung [Becker(2012)] erweitert. Durch eine strikt statische Architektur und eine generierte Datenhaltungsschicht können die von einer Anwendung benötigten Daten bedarfsadaptiert vorgehalten werden. Zusätzlich kann der Verbrauch von Speicher und maximaler Rechenzyklen zur Übersetzungszeit bestimmt werden [SGW+ 11]. Die so erreichte Softwarearchitektur konnte als allgemeine Grundlage für sicherheitskritische Anwendungen auf cyber-physikalischen Systemen vorgestellt werden [KRS12, KS11]. Zur Kontrolle der im System eingesetzten Blutpumpe wurde eine Blutflussregelung entwickelt [SGA+ 11], die um ein Modell der Pumpe erweitert wurde, sodass Abweichungen der Blutpumpe vom erwarteten Verhalten diagnostiziert werden können [Gathmann(2011)] [SGB+ 11]. Diese Pumpenkonsole konnte durch die modulare Konzeption der Netzwerkknoten auf eine einheitliche Hardwareplattform portiert werden, sodass alle Netzwerkknoten die gleiche Softwarebasis nutzen [Schüßler(2013)]. In diesem Kontext wurde der Einfluss von negativen Entnahmedrücken im Blutkreislauf auf die Blutschädigung untersucht [ADBM+ 10]. Auf einer physiologischen Modellbildung des Patienten [WWS+ 10] beruhend wurde eine patientenbedarfsorientierte Regelung der ECLA ausgearbeitet. Bei dieser Regelung kann behandelnde Mediziner die physiologisch relevanten Größen als Vorgabe an das Regelungskonzept stellen [BBS+ 11, WBA+ 11, WBB+ 11, WBS+ 12]. Zudem wurde das Projekt in verschiedenen Projektstufen im Überblick bzw. im Speziellen die Integration von Regelungs- und Sicherheitskonzept dargestellt [KWA+ 09, WSW+ 10, KBW+ 11]. 3 2 Grundlagen In diesem Kapitel werden zunächst die für das Verständnis der vorliegenden Arbeit benötigten medizinischen Aspekte dargestellt. Zusätzlich wird der Begriff des Modells genauer erläutert, der aufgrund der Interdisziplinarität der Biomedizintechnik, in die diese Arbeit einzuordnen ist, mehrfach belegt ist. Abschließend werden die für den Anwendungsfall der ECLA relevanten gesetzlichen Regelungen und Standards dargelegt. 2.1 Physiologische Grundlagen Im folgenden Abschnitt werden die für diese Arbeit relevanten medizinischen Grundlagen und zugehörigen Fachtermini eingeführt. Dabei wird im Kontext der menschlichen Physiologie auf verschiedene Organe, Zusammenhänge und Abläufe im menschlichen Körper eingegangen. Die verschiedenen Aspekte der menschlichen Physiologie werden entsprechend des notwendigen Umfangs erläutert. Als weiterführende Literatur finden sich verschiedene medizinische Standardwerke zur Physiologie: [84, 145, 152]. 2.1.1 Kreislauf Der Blutkreislauf des Menschen nimmt eine Vielzahl von Aufgaben wahr. Dazu fördert das Herz als treibende Kraft Blut durch ein geschlossenes Gefäßsystem, welches die Zirkulation des Blutes zu den Organen ermöglicht und steuert. Wie in Abbildung 2.1 dargestellt, besteht das Kreislaufsystem des Menschen aus zwei in Serie geschalteten Teilsystemen: dem Lungen- und dem Körperkreislauf. Das Herz ist, als Verbindungspunkt der beiden Kreisläufe, in zwei Hälften geteilt. Im Lungenkreislauf wird sauerstoffarmes und kohlenstoffdioxidreiches Blut aus der rechten Herzhälfte durch die Lungenarterie (Arteria pulmonalis) zu den Lungen gefördert. In den Kappilargefäßen erfolgt der Austausch von Kohlenstoffdioxid (Decarboxylierung) und Sauerstoff (Oxygenierung) mit den luftgefüllten Alveolen, die über die feinsten Verästelungen (Bronchioli) mit der Außenluft in Verbindung stehen. Das so oxygenierte bzw. decarboxylierte Blut gelangt durch die Lungenvene (Vena pulmonalis) zurück zum Herzen in die linke Herzhälfte. Das Herz fördert das sauerstoffreiche Blut aus der linken Herzhälfte über die Hauptschlagader (Aorta) zu den Organen im Körper. In den Kapillargefäßen der Organe gibt das Blut den für den Metabolismus benötigten Sauerstoff an das Gewebe ab und nimmt Kohlenstoffdioxid auf. Das desoxygenierte und carboxylierte Blut fließt durch die beiden Hohlvenen (Vena cava inferior und Vena cava superior) zum rechten Herzen zurück. 5 2 Grundlagen Lunge O2 CO2 Lungenkreislauf Herz Körperkreislauf Organe O2 CO2 Abbildung 2.1: Schematischer Aufbau des doppelten Blutkreislaufs des Menschen 6 2.1 Physiologische Grundlagen Die Vena cava superior beinhaltet dabei das Blut aller Organe oberhalb des Zwerchfells (Diaphragma), die Vena cava inferior das der Organe unterhalb des Diaphragmas. Abbildung 2.2 zeigt den menschlichen Blutkreislauf mit allen für diese Arbeit relevanten Gefäßen. Dabei werden die zum Herzen führenden Blutgefäße als Venen und alle vom Herzen weg führenden Gefäße als Arterien bezeichnet. Der Sauerstoffgehalt des durch ein Gefäß transportierten Blutes ist nicht ausschlaggebend für dessen Benennung. Blut ist im Rahmen des menschlichen Stoffwechsels Transportmedium für verschiedene Elemente. Darüber hinaus dient das Medium Blut zur Thermoregulation des Körpers. Durch Veränderung der Vasomotorik (Blutgefäßweite bzw. Elastizität) kann der Körper die Durchblutung einzelner Organe steuern. Da das Blut mittels Konvektion einen Energietransport durchführt, kann so der Transport von Wärme geregelt werden. 2.1.2 Stoffwechsel Unter dem Sammelbegriff „Stoffwechsel“(Metabolismus) werden alle lebensnotwendigen chemischen Prozesse innerhalb des Körpers zusammengefasst [132]. Einige Beispiele sind der schon aufgeführte Austausch von Sauerstoff und Kohlenstoffdioxid, die Aufnahme bzw. Verwertung von Nahrung oder der Hormonhaushalt. Alle diese Prozesse gliedern sich wiederum in Unterprozesse, die als Teil des Metabolismus des menschlichen Körpers verstanden werden können. 2.1.3 Blut – Aufbau und Zusammensetzung Das Haupttransportmedium innerhalb des menschlichen Körpers ist das Blut. Physiologisch wird das Blut auch als Organ aufgefasst; es beteiligt sich über verschiedene Anknüpfungspunkte am Gesamtstoffwechsel und besitzt einen internen Metabolismus. Blut setzt sich aus Plasma und zellulären Bestandteilen zusammen. Die einzelnen Bestandteile des Vollblutes können durch Zentrifugation voneinander separiert werden (vgl. Abbildung 2.3). Das Verhältnis der Volumina wird als Hämatokrit (Hkt) definiert: Hkt = V zelluläre Bestandteile . V Vollblut (2.1) Der Hkt hängt von verschiedenen Faktoren ab. Im physiologisch normalen Zustand beträgt der Hkt einer Frau 0,37 . . . 0,47 (Ø 0,42) und eines Mannes ca. 0,40 . . . 0,54 (Ø 0,47) [74]. Blutplasma Der flüssige Bestandteil des Vollblutes – das Blutplasma – besteht zu einem Massenanteil von ca. 90 % aus Wasser. Die restlichen Anteile des Plasmas setzen sich aus Proteinen und kleinmolekularen Substanzen zusammen [74]. Das Plasma dient als Lösungsmedium für Elektrolyte, Gase, aber auch weitere Stoffe wie Glukose, Lipide, Hormone und Harnstoff. 7 2 Grundlagen vena jugularis externa vena jugularis interna Arteria pulmonalis Aorta Vena cava superior Vena pulmonalis Herz Vena cava inferior Aorta descendens Arteria femoralis Vena femoralis Abbildung 2.2: Schematische Darstellung des menschlichen Blutkreislaufs (Abbildung entnommen aus [169]) 8 2.1 Physiologische Grundlagen zentrifugieren Plasma Vollblut Leukozyten & Thrombozyten Erythrozyten Abbildung 2.3: Zusammensetzung des menschlichen Blutes Abbildung 2.4: Rasterelektronenmikroskopaufnahme von Erythrozyten (rot), Thrombozyten (cyan und blau) und Leukozyten (grün) (Abbildung angelehnt an [51]) Zelluläre Bestandteile Die zellulären Bestandteile des menschlichen Blutes setzen sich aus den roten Blutkörperchen (Erythrozyten), den weißen Blutkörperchen (Leukozyten) und den Blutplättchen (Thrombozyten) zusammen. Abbildung 2.4 zeigt eine Rasterelektronenmikroskopaufnahme dieser Zellen. Der Erythrozyt ist rot, die Thrombozyten sind cyan und blau und der Leukozyt grün eingefärbt. Erythrozyten Die roten Blutkörperchen sind im Normalfall scheibenförmig und leicht bikonkav geformt. Im Vergleich zu einer Kugel ermöglicht diese Form durch ihre vergrößerte Oberfläche einen verbesserten Austausch mit dem sie umgebenden Plasma. Der Hauptbestandteil der Erythrozyten ist das Protein Hämoglobin (Hb), dessen eisenbasierte Häm-b-Verbindung die Rotfärbung der Erythrozyten und damit auch die des Vollblutes verursacht. Ein Hb-Molekül kann bis zu vier Sauerstoff-Moleküle binden. Der Rotfarbton der Erythrozyten ist vom Sauerstoffgehalt des Blutes abhängig. Sauerstoffarmes Blut hat 9 2 Grundlagen Abbildung 2.5: Geldrollenbildung von Erythrozyten (Abbildung angelehnt an [57]) eine dunklere Farbe als sauerstoffreiches Blut. Ein weiterer Bestandteil der Erythrozyten ist Wasser mit einem Anteil von ca. 65 % [36]. Die Erythrozyten machen mehr als 99 % des Volumens der zellulären Bestandteile aus. Abhängig von den auf sie ausgeübten Kräften verändern Erythrozyten ihre Form bzw. Gruppierung [76]. So heften sie sich zu kettenartigen Stapeln zusammen, wenn die Fließgeschwindigkeit und damit die Scherrate sehr gering wird. Dieses Phänomen wird als Geldrollenbildung (Pseudoagglutination) bezeichnet. Abbildung 2.5 zeigt schematisch die Gruppierung von Erythrozyten in Geldrollenform. Dieser Prozess ist reversibel. Bei hohen Scherraten verändert sich die Form der Erythrozyten hin zu einem Ellipsoid. Aufgrund dieser Formeigenschaften der Erythrozyten ist die Viskosität von Vollblut ebenfalls scherratenabhängig [22, 69]. Daher muss Blut als nicht-newtonsches Fluid eingestuft werden, was die detailgetreue Simulation von Druck und Flusszusammenhängen von Blut innerhalb des menschlichen Körpers sehr komplex gestaltet. Leukozyten Die weißen bzw. vielmehr farblosen Blutkörperchen dienen der Abwehr von Krankheitserregern und unverträglichen Stoffen und gehören somit zum Immunsystem. Ihr Vorkommen im Vollblut ist in Bezug auf die Anzahl der Erythrozyten um den Faktor 500 bis 1 000 geringer. Im Normalfall halten sich über 50 % der Leukozyten außerhalb der Blutbahn in Zellzwischenräumen bzw. dem Knochenmark auf. Thrombozyten Die Blutplättchen sind die kleinsten zellulären Bestandteile des Blutes. Die Anzahl der Thrombozyten ist um ca. den Faktor 20 geringer als die der Erythrozyten. Sie dienen der Blutgerinnung. Dazu heften sich die Thrombozyten bei der Beschädigung eines Blutgefäßes zunächst an beschädigtes Gewebe (Thrombozytenadhäsion) und anschließend aneinander (Thrombozytenaggregation). Zusätzlich setzen die Thrombozyten gerinnungsfördernde Stoffe frei. Diese Abläufe sorgen für einen ersten Wundverschluss, der durch Bestandteile des Plasmas weiter verschlossen wird. Während der Adhäsion und Aggregation verändern die Thrombozyten durch die sogenannte Aktivierung ihre Form und vergrößern durch die Ausstülpung von Scheinfüßchen (Pseudopodien) ihre Oberfläche. Abbildung 2.4 zeigt einen unaktivierten Thrombozyten (blau eingefärbt) und einen aktivierten Thrombozyten mit deutlich ausgeprägten Pseudopodien (cyan eingefärbt). Die Aktivierung kann durch verschiedene Proteine, Enzyme und Nukleotide geschehen. In der Intensivmedizin werden verschiedene Fremdkörper in Form von z. B. Kanülen, Kathetern oder Sonden in den Körper eingebracht. Damit diese wie vorgesehen funktio- 10 2.1 Physiologische Grundlagen nieren, muss die Adhäsion von Thrombozyten und somit deren Aktivierung verhindert werden. Dazu werden Gerinnungshemmer (Antikoagulanzien) wie z. B. Heparin eingesetzt [59]. Hierbei gilt es, den schmalen Grat zwischen der Bildung von Blutgerinnseln (Thromben) und dem Auslösen von Blutungen (Hämorrhagie) dauerhaft zu beschreiten. 2.1.4 Gastransport im Blut Eine der schon beschriebenen Hauptfunktionen des Blutkreislaufs ist der Transport von Sauerstoff und Kohlenstoffdioxid. Dazu stehen mehrere Transportkanäle zur Verfügung. Die Gase können physikalisch in der Flüssigkeit Blut gelöst oder chemisch an spezielle Blutbestandteile gebunden vorliegen [74]. Physikalische Lösung Das Gesetz von Henry beschreibt die Lösung von Gasen in Flüssigkeiten. Im Allgemeinen gilt, dass die Stoffmengenkonzentration eines Gases in einer Flüssigkeit cGas gleich dem Produkt aus dem Löslichkeitskoeffizienten (HenryKonstante) des Gases für die Flüssigkeit αGas in Flüssigkeit und dem Partialdruck des Gases pGas ist: cGas = αGas in Flüssigkeit · pGas . (2.2) Hierbei ist nach dem Gesetz von Dalton der Partialdruck eines Gases als das Produkt des Gesamtdrucks pGesamt und dem Stoffmengenanteil des Gases am Gesamtgas f Gas definiert: pGas = f Gas · pGesamt . Das in Gleichung (2.2) beschriebene Verhalten gilt nur für den statischen Fall. Die Konzentrationsdifferenz zwischen der Lösung und dem umgebenden Gas ist dabei die treibende Kraft. Die Henry-Konstante αGas in Flüssigkeit ist in Gleichung (2.2) abhängig von der Temperatur der Flüssigkeit. Es gilt: −∆ α = αϑ · e Lsg H · R 1 T − T1 ϑ (2.3) . dabei sind ∆Lsg H die Enthalpie der Lösung, αϑ die Henry-Konstante bei einer bekannten Temperatur T ϑ in Kelvin, T die Temperatur der Flüssigkeit und R die universelle Gaskonstante [142]. Im Fall von menschlichem Vollblut kann der Flüssigkeitsanteil auf Wasser reduziert werden. Der Wasseranteil in Vollblut ergibt sich zu: f Wasser in Vollblut ≈ (1 − Hkt) · f Wasser in Plasma + Hkt · f Wasser in Erythrozyten ≈ (1 − Hkt) · 0,91 + Hkt · 0,64. (2.4) In der Literatur finden sich Angaben zur Henry-Konstante in Wasser und deren Temperaturverhalten [141]: αO2 in Wasser,298,15 K = 1,3 · 10−3 −∆Lsg H = 1800 K. R mol/atm, (2.5) (2.6) 11 2 Grundlagen Aus den Gleichungen (2.1), (2.2), (2.3), (2.4), (2.5) und (2.6) lässt sich die physikalisch in Blut gelöste Menge an Sauerstoff berechnen zu: cO2 ,physikalisch = (0,91 − Hkt · 0,27) · 1,3 · 10−3 mol/atm · e(1800 1 K·( T1 − 298,15 K )) · pO . (2.7) 2 Chemische Bindung Über die physikalische Bindung hinaus wird Sauerstoff in Blut auch durch das Hämoglobin in den Erythrozyten chemisch gebunden. Dabei kann ein Hb-Molekül bis zu vier Moleküle Sauerstoff an sich binden. Der Anteil des mit Sauerstoff verbundenen Hämoglobins [HbO2 ] am maximal bindungsfähigen Hämoglobin [Hbtotal ] wird als Sauerstoffsättigung (SO2 ) definiert [131]. SO2 = [HbO2 ] . [Hbtotal ] Die Sauerstoffsättigung wird meist in der Prozentdarstellung angegeben. Die chemische Bindung erfolgt – im Gegensatz zur physikalischen Bindung – nicht linear abhängig vom Sauerstoffpartialdruck (pO2 ) im Blut. Die Sauerstoffbindungskurve, die den Sauerstoffpartialdruck mit der Sauerstoffsättigung im Blut in Relation setzt, hat eine sigmoide Form (vgl. Abbildung 2.6). Bei niedrigen Sauerstoffpartialdrücken erfolgt die chemische Bindung nur schleppend; darauf folgt ein Bereich, in dem Hämoglobin Sauerstoff sehr gut an sich bindet, bis die Bindungskurve sich schließlich asymptotisch an die vollständige Sättigung nähert. Dieses Verhalten unterstützt die menschliche Physiologie. Im Normalfall hat in der Lunge oxygeniertes Blut eine Sättigung von annähernd 100 %; desoxygeniertes Blut, das aus den Organen zum Herzen zurückfließt, hat eine Sättigung von ca. 75 %. Das heißt im Normalzustand bewegt sich die Sättigung im oberen, flachen Bereich der Sättigungskurve. Die in den Organen ausgetauschte Stoffmenge an Sauerstoff ist auf diese Weise groß, obwohl die Sättigung keine starke Änderung durchläuft. Die chemische Bindung von Sauerstoff an Hämoglobin ist nicht nur vom Sauerstoffpartialdruck sondern auch von anderen Faktoren wie der Temperatur, dem Kohlenstoffdioxidpartialdruck (pCO2 ), dem pH-Wert (der wiederum vom pCO2 abhängt) und dem Gehalt von 2,3-Bisphosphoglycerat (2,3-BPG) in den Erythrozyten abhängig. Die entsprechend resultierenden Verschiebungen sind in Abbildung 2.6 dargestellt bzw. sind die Veränderungen der Sauerstoffbindungsaffinität ∆aff ist in Tabelle 2.1 qualitativ aufgelistet. Auf weitere Faktoren, die theoretisch Einfluss auf die Sauerstoffbindung an Hämoglobin haben wird nicht weiter eingegangen, da diese für die vorliegende Arbeit vernachlässigt werden können. Wie schon erläutert, kann ein Molekül Hämoglobin vier Sauerstoffmoleküle binden. Damit ergibt sich das maximal an ein Gramm Hämoglobin bindbare Sauerstoffvolumen (bei einer molaren Masse von Hämoglobin M Hb=64 500 g/mol ) zu: 4·Vm 4 · 22,4 lO2/molO2 ≈ ≈ 1,389 · 10−3 M Hb 64 500 gHb/mol lO2/g Hb . V m ist das molare Volumen eines idealen Gases bei Normbedingungen. Diese Zahl wird in der Praxis aus verschiedenen Gründen nicht erreicht, weshalb sich die Hüfner-Zahl zu 12 2.1 Physiologische Grundlagen Parameter Temperatur ↑ pH-Wert ↑ pCO2 ↑ 2,3-BPG ↑ ∆aff ↓ ↑ ↓ ↓ Tabelle 2.1: Relevante Einflussfaktoren auf das Bindungsverhalten von Sauerstoff 100 Sauerstoffsättigung SO2 [%] 90 80 70 60 50 40 30 20 Temp. erhöht pH erhöht pCO2 erhöht 10 0 0 10 20 30 40 50 60 Sauerstoffpartialdruck pO 2 [mmHg] 70 80 Abbildung 2.6: Sauerstoffbindungskurve für Humanblut nach Gleichung (2.9) 13 2 Grundlagen 1,34 · 10−3 lO2/gHb etabliert hat [64, 65]. Damit lässt sich die chemisch an Blut gebundene Menge Sauerstoff bei Kenntnis des Hämoglobingehalts (Hb) des Vollblutes berechnen zu: cO2 ,chemisch = Hb · 1,34 · 10−3 Vm lO2/g Hb · SO2 ≈ Hb · 59,78 · 10−6 molO2/g Hb · SO2 . (2.8) In der Literatur wurden verschiedene mathematische Modelle zur Beschreibung des Zusammenhangs zwischen Sauerstoffpartialdruck und Sauerstoffsättigung vorgestellt [23, 131]. Das in dieser Arbeit genutzte Modell wird im Folgenden genauer erläutert. Beschreibung der Sauerstoffbindungskurve nach Kelmann Eine erste mathematische Beschreibung des Sauerstoffbindungsverhaltens (Sauerstoffsättigung in Abhängigkeit des Sauerstoffpartialdrucks) von Hämoglobin erfolgte 1910 durch Hill [66]. Fast alle nachfolgende Literatur baute darauf auf. Adair stellte fest, dass die von Hill erarbeitete Gleichung quantitativ ungenau ist, und führte eine gebrochen rationale Funktion vierter Ordnung zur exakteren Näherung ein [12]. Diese wurde von Kelman um die Abhängigkeit der beeinflussenden Faktoren Temperatur, pH-Wert und Kohlenstoffdioxidpartialdruck erweitert und die benötigten Koeffizienten mit der Methode des kleinsten quadratischen Fehlers für 38 Messpunkte ermittelt [79]. Das Modell war dahin gehend optimiert, dass es effizient als Fortran-Funktion implementiert werden konnte. Die Funktion lautet: x =pO2 · 10(0,0024·(310,15−T )+0,40(pH−7,4)+0,06(log 40−log pCO2 )) , a1 = − 8 532,2289, a2 = 2 121,4010, a3 = −67,073989, a4 = 935 960,87, a5 = − 31 346,258, a6 = 2 396,1674, a7 = −67,104406, SO2 = a1 x + a2 x2 + a3 x3 + x4 . a4 + a5 x + a6 x 2 + a7 x 3 + x 4 (2.9) Zwar berücksichtigt dieses Modell nicht den Einfluss von 2,3-BPG, jedoch wurde die Gleichung nach Kelman in weiteren Vergleichen als über den gesamten Funktionsbereich hinreichend genau bzw. mit konstanter Genauigkeit identifiziert [23]. Sauerstofftransport Sauerstoff wird im menschlichen Organismus physikalisch gelöst und chemisch gebunden transportiert [74, 132]. Im Allgemeinen wird in den die Alveolen umspannenden Lungenkapillaren vom Blut Sauerstoff aufgenommen und in den Kapillaren der Organe wieder abgegeben. Dabei geht der Sauerstoff zunächst physikalisch in Lösung und anschließend bindet sich der physikalisch gelöste Sauerstoff chemisch an Hämoglobin, bis ein Gleichgewicht entstanden ist. Normalbedingungen2 kann Sauerstoff chemisch bis zu einer maximalen Konzentration von 8,97 · 10−3 molO2/lBlut gebunden werden (vgl. Gleichung (2.8)). Dieser Wert wird schon bei geringen Partialdrücken annähernd erreicht. Bei einem Partialdruck von pO2 = 52 mmHg (das entspricht einem normobaren3 Sauerstoffanteil von 6,8 %) sind bereits 2 3 Hb = 150 gHb/lBlut , Hkt = 0,42, T = 37 ◦ C, pCO2 = 40 mmHg, pH = 7,4. mittlerer Luftdruck auf Meeresspiegelhöhe pLuft = 760 mmHg = 101 325 Pa = 1 atm. 14 10 Sauerstoffkonzentration cO2 [mmol/l] 150 8 100 6 chemisch gebunden physikalisch gelöst c O /c O chem 4 2 phys 2 50 2 0 0 0.2 0.4 0.6 Sauerstoffanteil fO2 0.8 0 1 Verhältnis chem. zu phys. Sauerstoffkonzentration 2.2 Modellbegriffe Abbildung 2.7: Sauerstoffkonzentrationsverlauf für Humanblut über 90 % der maximalen Sauerstoffkonzentration chemisch gebunden. Die physikalisch gebundene Sauerstoffkonzentration steigt jedoch linear mit dem Sauerstoffanteil am Gesamtgas. Die verschiedenen Sauerstoffkonzentrationen sind in Abbildung 2.7 dargestellt. Dieses Bindungsverhalten führt dazu, dass die chemische Bindung bei kleinen Sauerstoffanteilen einen um den Faktor 150 größeren Anteil zur Gesamtsauerstoffkonzentration als die physikalische Lösung beiträgt. Für hohe Sauerstoffanteile fällt dieses Verhältnis auf den Faktor 10. 2.2 Modellbegriffe Im Rahmen dieser Arbeit wird der Begriff des Modells in ambivalenten Ausprägungen genutzt. Ein Modell repräsentiert (und vereinfacht) ein betrachtetes System durch einen Satz von Aussagen über dieses System [150]. Das Modell kann als vereinfachendes Abbild der Realität angesehen werden, welches nach Stachowiak durch drei Merkmale gekennzeichnet ist [155]: • Abbildung – Ein Modell ist eine Repräsentation (Abbildung) eines Originals (welches wiederum ein Modell sein kann). • Verkürzung – Ein Modell erfasst nur einen eingeschränkten Umfang der Merkmale des Originals. Im Allgemeinen die für die Betrachtung relevanten Merkmale. • Pragmatismus – Ein Modell wird seinem Original für einen Zweck und eine Zeitspanne zugeordnet. 15 2 Grundlagen In Bezug auf Informationsverarbeitung beruhen Modelle bzw. die Modellbildung nach Broy auf vier Säulen [25]: • Pragmatik – die Beschreibungstechnik eines Modells muss für die unterschiedlichen involvierten Disziplinen anschaulich sein. Eine etablierte Beschreibungsart ist die Darstellung als Diagramm. • Formalismen – die Abstraktion der Realität in ein Modell bedarf festgelegter Randbedingungen, sodass durch die Abbildung in eine formale Sprache eine eindeutige Zuordnung möglich ist und von der Beschreibung ausgehend eine axiombasierte Logik zur Erlangung weiterer Erkenntnisse eingesetzt werden kann. • Methodik – um ein Modell zu erzeugen, welches den gewünschten Umfang und den benötigten Detailgrad erhält, muss die Vorgehensweise während der Abstraktion definiert sein. • Werkzeuge – die zuvor skizzierten Säulen der Modellbildung legen nahe, dass die meisten notwendigen Schritte automatisierbar sind. Die werkzeugbasierte Modellgenerierung ermöglicht die Generierung von Modellen, die den an sie gestellten Anforderungen entsprechen und für die ein Nachweis der Korrektheit erbracht werden kann. Ausgehend von diesen abstrakten Modelldefinitionen existieren für das Feld der Medizintechnik verschiedene Anwendungen für unterschiedliche Formen von Modellen. Es gibt mathematische Modelle, in denen ein technisches System – meist beruhend auf seinen physikalischen bzw. chemischen Eigenschaften – in mathematischer Notation dargestellt wird [71, 97]. Wird ein solches Modell mit den benötigten Eingangsgrößen belegt, ermöglicht es eine Aussage über den zu erwartenden Systemzustand. Mathematische Modelle finden Anwendung beim Entwurf von Regelungsalgorithmen, der Etablierung von virtuellen Sensoren oder der Überwachung des Zustands eines Systems [11, 105]. Die erstellten Modelle können sich dahingehend unterscheiden, ob alle relevanten Prozesse abgebildet werden oder ob das Modell nur eine stark vereinfachte Näherung des zu erwartenden Systemverhaltens ohne Berücksichtigung bzw. Kenntnis der inneren Systemeigenschaften (das sog. Black-Box-Modell) zeigt [71]. In einem Datenmodell werden die einen Einsatzbereich betreffenden Daten zueinander in Relation gesetzt und die darauf operierenden Algebren definiert [138]. Ein Datenmodell kann die Beziehungen der einzelnen Datenelemente zueinander, die logischen Implikationen zwischen den Daten der Realität und der Modellierung enthalten, sowie die Implementierungsdetails, die zum technischen Betrieb notwendig sind, genauer spezifizieren. Eine etablierte Modellierungsform für Datenmodelle ist das Entity-RelationshipModel [30, 31, 143] bzw. dessen Abbildung in der Unified Modeling Language (UML) [29]. In den Ingenieurwissenschaften werden während eines Entwicklungsprozesses häufig mechanisch funktionelle Modelle, sogenannte Mock-Ups erstellt. Mit diesen ist ein Testen des Systems unter Laborbedingungen im gewünschten Umfang möglich. Diese Form der Modellierung erhält durch den Kontext der Intensivmedizintechnik spezifische 16 2.2 Modellbegriffe Herausforderungen. So liefert der Betrieb mit Blutersatzflüssigkeiten keine vollständig vergleichbaren Ergebnisse, andererseits bringt der Betrieb mit Blut unterschiedliche Probleme mit sich. Dazu gehören die Bildung von Thromben, die gewünschte Konditionierung des Blutes oder ein größerer Materialverbrauch [85, 165]. Ein Mock-Up muss keine maßstabsgetreue Nachbildung der Realität sein. Oft wird der Mock-Up so ausgelegt, dass die für die Betrachtung relevanten Kennzahlen abgebildet sind. Ein Model (teilweise auch Mannequin) bezeichnet einen Gegenstand bzw. oft einen Menschen, der seinen Körper oder Teile dieses nutzt, um Produkte bzw. Dienstleistungen für mindestens eine Zielgruppe ansprechend darzustellen. Allgemein wird davon ausgegangen, dass eine solche Vorgehensweise den wirtschaftlichen Erfolg, zum einen auf Basis des positiven geprägten Erinnerungswertes, aber auch auf Basis der Identifikation mit dem expliziten Model, steigert. Ein anderes Anwendungsfeld von Models ist die Darstellung im Rahmen von künstlerischen Arrangements [33, 157]. Eine letzte im Kontext dieser Arbeit relevante Modellform ist das Tiermodell. Ein Tiermodell repräsentiert eine Pathologie bzw. Erkrankung im In-vivo-Versuch mit Tieren. Meist empirisch ermittelte Vorschriften geben vor, wie die Pathologie einer speziellen Erkrankung im Tier zu induzieren ist, sodass die Ergebnisse möglichst ähnlich denen der menschlichen Physiologie sind und die erzielten Ergebnisse auf den Menschen übertragbar sind [47, 93]. Im Rahmen dieser Arbeit werden Tiermodelle ausgehend vom Schwein eingesetzt, um ARDS als mit einer ECLA zu behandelnde Krankheit hervorzurufen [93]. Die Etablierung und Verfeinerung dieser Tiermodelle ist Gegenstand aktuell laufender Forschungsvorhaben. 17 2 Grundlagen 2.3 Gesetze und Normen Der Einsatz und das Inverkehrbringen von Medizinprodukten ist in Deutschland durch die EU-Richtlinien Medizinprodukte-Richtlinie 4 , Richtlinie über aktive implantierbare medizinische Geräte 5 und In-vitro-Diagnostika-Richtlinie 6 im Medizinproduktegesetz (MPG) 7 geregelt. Durch das MPG soll die „Sicherheit, Eignung und Leistung“5 von Medizinprodukten gewährleistet werden. Die Definition eines Medizinproduktes umfasst unter anderem alle Stoffe und Vorrichtungen, aber auch Software, die Krankheiten beim Menschen erkennen bzw. behandeln. Das MPG wird auf die in dieser Arbeit vorgestellten Methoden, wenn diese auf den Menschen übertragenen werden, anzuwenden sein. Daher wurden die relevanten Teilaspekte des MPG bei den im Rahmen dieser Arbeit ausgearbeiteten Sicherheitsmaßnahmen berücksichtigt. Durch die US Food and Drug Administration (FDA) wurden erste Bestrebungen publiziert, formale Methoden für den Entwurf von Medizingeräten zu verankern [75]. Diese Bestrebungen haben bisher keine normative Festlegung gefunden. Weitergehend sind verschiedene Normen für die in dieser Arbeit vorgestellten Ergebnisse anwendbar [170]. Diese umfassen unter anderem: • DIN EN 60601 Medizinische elektrische Geräte • DIN EN 62304 Medizingeräte-Software - Software-Lebenszyklus-Prozesse • DIN EN ISO 14971 Medizinprodukte – Anwendung des Risikomanagements auf Medizinprodukte • DIN EN ISO 13485 Medizinprodukte – Qualitätsmanagementsysteme – Anforderungen für regulatorische Zwecke • DIN EN 12022 Blutgasaustauscher • ISO 7199 Kardiovasculäre Implantate und künstliche Organe – Blut-Oxygenatoren Richtlinie 93/42/EWG des Rates vom 14. Juni 1993 über Medizinprodukte. Richtlinie 90/385/EWG des Rates vom 20. Juni 1990 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über aktive implantierbare medizinische Geräte. 6 Richtlinie 98/79/EG des Europäischen Parlaments und des Rates vom 27. Oktober 1998 über In-vitroDiagnostika. 7 Medizinproduktegesetz in der Fassung der Bekanntmachung vom 7. August 2002 (BGBl. I S. 3146), das zuletzt durch Artikel 11 des Gesetzes vom 19. Oktober 2012 (BGBl. I S. 2192) geändert worden ist. 4 5 18 3 ARDS und ECLA Diese Arbeit stellt ein Sicherheitskonzept für die extrakorporale Lungenunterstützung (ECLA) vor. Zum besseren Verständnis des Status Quo beginnt dieses Kapitel mit der Vorstellung der Pathologie des akuten progressiven Lungenversagens (ARDS) und den möglichen Therapieformen. Anschließend wird die ECLA als Ultima-Ratio-Therapie genauer erläutert. Motiviert durch den aktuellen Status der ECLA als Ultima-Ratio-Behandlungsform des ARDS wird das Projekt SmartECLA vorgestellt, welches die existierende Behandlungsform der ECLA um eine Vernetzung der eingesetzten Komponenten, ein zentrales Regelungskonzept, mechanisch-konstruktive Überarbeitung der blutführenden Komponenten und ein überlagerndes Sicherheitskonzept erweitert. Im weiteren Verlauf werden die Projektziele definiert und die zu diesen Zielen erarbeiteten Konzepte erläutert. Zum besseren Verständnis der folgenden Maßnahmen wird der etablierte Systemaufbau und das erarbeitete Regelungskonzept vorgestellt. Im folgenden Kapitel wird auf Basis dieses Wissens eine Analyse des Systemkonzeptes durchgeführt um daraus das Sicherheitskonzept abzuleiten. Die explizit erarbeiteten Maßnahmen sind in den darauf folgenden Kapiteln dargestellt. 3.1 Akutes Lungenversagen Das akute progressive Lungenversagen (ARDS) ist durch eine akute schwere Oxygenierungsstörung, mit beidseitigen Infiltraten im Röntgenbild der Lunge und Ausschluß einer kardialen Ursache, definiert. Ursachen sind häufig Pneumonie, Schock oder Sepsis. Das ARDS erfordert regelhaft die maschinelle Beatmung zur Aufrechterhaltung eines ausreichenden Gasaustausches. 3.1.1 Historie Während diverser Polioepidemien bis in die 1950er Jahre mussten viele Patienten hinsichtlich ihrer Atmung medizinisch unterstützt werden. Dies geschah zunächst durch die schon klinisch etablierte eiserne Lunge und später durch eine künstliche Beatmung. Auf dieser Grundlage wurde die Entwicklung der Lungenunterstützung stark vorangetrieben. In [94] wird beschrieben, wie die Lungeninsuffizienz bei Poliopatienten während einer Epidemie im Jahr 1952 in Kopenhagen mit künstlicher Beatmung behandelt wurde. Ausgehend von einer Beobachtung bei 12 Patienten, deren Zustand sich durch die damals bekannten Behandlungsmethoden für Lungeninsuffizienz nicht verbesserte, wurde der Begriff des Acute Respiratory Distress Syndrome in Adults in Abgrenzung zum schon 19 3 ARDS und ECLA Kriterium zeitlicher Ablauf Radiologie Ursache Oxygenierung Auftreten innerhalb von einer Woche nach klinischer Erkrankung oder neue bzw. sich verschlechternde Atemwegssymptomatik Beidseitige Verschattung der Lunge im Röntgen- oder CT-Bild, die nicht vollständig auf ein Hämatom, Pneumothorax oder Knoten zurückgeht Respiratorisches Versagen, das nicht vollständig auf Herzversagen oder Hypervolämie zurück zu führen ist mild ARDS 200 mmHg < pa O2 fiO2 ≤ 300 mmHg, mit PEEP oder CPAP ≥ 5 cmH2 O moderate ARDS 100 mmHg < pa O2 fiO2 ≤ 200 mmHg, mit PEEP ≥ 5 cmH2 O pa O2 fiO2 ≤ 100 mmHg, mit PEEP ≥ 5 cmH2 O severe ARDS Tabelle 3.1: ARDS Definition nach dem Berliner Konsens 2011 [134] bekannten Infant Respiratory Distress Syndrome geprägt [15]. Auf diese sehr allgemein gehaltene Definition des ARDS folgten in den 1970er und 1980er Jahren Weitere, die jedoch nicht deckungsgleich waren. Die letzte Definition erfolgte im Jahr 2011; diese wird im Folgenden genauer erläutert. 3.1.2 Definition des ARDS Im Rahmen der amerikanisch-europäischen Konsensuskonferenz wurde eine Vereinheitlichung (AECC-Definition) geschaffen [19], die zwischen ARDS und Acute Lung Injury (ALI) differenzierte. Die AECC-Definition wurde 2011 im Rahmen eines Konsensverfahrens erneut überarbeitet [134]. Diese Definition beruht auf vier Kriterien (zeitlicher Ablauf, Radiologie, Ursache, Oxygenierungsleistung) und unterscheidet zwischen drei Formen des ARDS (mild, moderate, severe). Diese überarbeitete Definition benennt kein ALI. Die Bewertung der Oxygenierung greift dabei auf den durch den Patienten erzielten arteriellen Sauerstoffpartialdruck pa O2 im Verhältnis zum inspiratorisch zur Verfügung stehenden Sauerstoffanteil fiO2 (Horowitz-Index) und den bei der künstlichen Beatmung angewandten positiven endexspiratorischen Druck (engl. positive end-expiratory pressure (PEEP)) [92] bzw. dauerhaften Beatmungsüberdruck (engl. continuous positive airway pressure (CPAP)) [137] zurück. Tabelle 3.1 listet die Details der ARDS-Definition nach Berliner Konsens 2011 auf. 3.1.3 Ätiologie Eine ARDS-Erkrankung kann verschiedene Ursachen haben. Die Einteilung der Ursachen (die Ätiologien) erfolgt differenziert nach direkter und indirekter Lungenschädigung. 20 3.1 Akutes Lungenversagen Eine direkte Lungenschädigung kann durch Inhalation toxischer oder ätzender Gase, Aspiration verschiedener Flüssigkeiten (z. B. Magensäure, Salz- oder Süßwasser) oder durch eine pathologische Schädigung der Lunge (z. B. durch eine Lungenentzündung, eine Quetschung oder ein Barotrauma der Lunge) verursacht werden. Die indirekte Lungenschädigung geht in der Regel auf eine systemische Reaktion des Körpers zurück. Diese kann durch verschiedene Ätiologien, wie z. B. Sepsis oder (Poly)Trauma, verursacht sein [102, 132]. In allen genannten Fällen ist das Resultat eine signifikante Verminderung der Gasaustauschkapazität der Lunge und daraus resultierend eine unzureichende Atemgasversorgung der Organe. 3.1.4 Inzidenz und Letalität Zu Inzidenz8 und Letalität9 von ARDS gibt es stark schwankende Angaben, die abhängig vom Zeitpunkt und Ort einer Studie sind [20,103,104,151,168]. Die Angaben zur Inzidenz variiert zwischen 1,5 und 70, die der Letalität von ARDS variiert zwischen < 50 % und 70 %. Eine statistische Auswertung über eine Spanne von 23 Jahren in Island, die 435 Patienten mit ARDS umfasst, zeigt auf, dass die Inzidenz im Jahr 1988 von 3,68 auf 9,63 im Jahr 2010 gestiegen ist. Die Letalität ist im Trend in dieser Zeit pro Jahr um 1 % gesunken. Die allgemeine Letalität innerhalb der Einrichtungen ist von 50 % im Zeitraum 1988 bis 1992 auf 33 % im Zeitraum 2006 bis 2010 gesunken [151]. Im Grundsatz zeigt sich, dass ARDS nur bei einem kleinen Anteil der behandlungsbedürftigen Patienten, jedoch mit einer sehr hohen Sterblichkeit, auftritt. Die Letalität lässt sich sowohl auf die Schwere der vorhandenen Erkrankungen als auch auf die unzureichenden Behandlungsmethoden zurückführen. Aus den Daten der Studie [151] ist zu erkennen, dass sich der Behandlungserfolg von ARDS – in der zeitlichen Entwicklung betrachtet – verbessert. Dies ist auf ein besseres Verständnis der zugrunde liegenden Pathologie, aber auch auf verbesserte Therapieoptionen zurückzuführen. 3.1.5 Therapieformen Zur Behandlung von ARDS-Patienten stehen neben der Therapie der das ARDS auslösenden Ursachen verschiedene Therapieformen offen [88]. Bei einem signifikanten Teil der ARDS-Erkrankungen ist eine Atemgasversorgung mit erhöhtem inspiratorischen Sauerstoffanteil fiO2 notwendig, um eine ausreichende Sauerstoffversorgung der Organe zu gewährleisten. Der weiterführende Schritt ist die künstliche Beatmung, falls die Spontanatmung des Patienten nicht mehr ausreicht. Dabei entsteht ein Interessenskonflikt zwischen ausreichendem Gasaustausch zur Versorgung der Organe einerseits und Schädigung des Lungengewebes durch mechanischen Beatmungsstress bzw. einen hohen Sauerstoffanteil andererseits [48, 102]. Andere Optionen bietet die Lagerungstherapie. Durch gezielte Positionierung des Patienten kann die Atemmechanik verbessert und so die Gasaustauschleistung gesteigert 8 9 Anzahl von diagnostizierten Neuerkrankungen (meist pro 100 000 Einwohner). Verhältnis von, an einer Krankheit Verstorbenen zu an dieser Krankheit Infizierten. 21 3 ARDS und ECLA werden, wobei allerdings umstritten ist, ob die Überlebensrate durch eine Lagerungstherapie verbessert wird [54, 88]. In allen genannten Therapieoptionen ist häufig zur Behandlung der sekundären Erscheinungen die Gabe von Medikamenten notwendig. Sollten alle genannten Maßnahmen keine Verbesserung des Patientenstatus bewirken, so besteht die Möglichkeit, den Gasaustausch des Patienten extrakorporal zu unterstützen (extrakorporale Lungenunterstützung (ECLA)). Da dieses Verfahren stark risikobehaftet, kostenintensiv und technisch sehr anspruchsvoll ist, wird es heutzutage meist nur als Ultima Ratio, also nur wenn ein Überleben des Patienten ansonsten nicht sicherzustellen ist, eingesetzt [58]. Das heißt, dass der Quotient aus erreichtem arteriellem Sauerstoffpartialdruck pa O2 des Patienten und eingesetzter inspiratorischer Sauerstoffanteil der Beatmung fiO2 dauerhaft unter pfaiOO2 < 50 . . . 80 mmHg liegt [89]. 2 3.2 Extrakorporale Lungenunterstützung (ECLA) Die extrakorporale Lungenunterstützung (ECLA) bzw. auch extrakorporale Membranoxygenierung (ECMO) kann in verschiedenen Varianten durchgeführt werden. Allen gemein ist, dass dem Körper mithilfe von Kanülen Blut entnommen wird, um in einem Oxygenator mit Sauerstoff angereichert und von Kohlenstoffdioxid befreit zu werden. Der Oxygenator unterstützt oder ersetzt so die Funktion der Lunge [95]. Ein Oxygenator ist ein intensivmedizinisches Gerät, welches den Stoffaustausch von Gasen mit Blut ermöglicht. Im Speziellen sind das die Gase Sauerstoff und Kohlenstoffdioxid. Der Gasaustausch wird dabei immer durch die Konzentrationsunterschiede zwischen der Blut- und der Gasphase getrieben. Oxygenatoren werden heutzutage in Herz-Lungen-Maschinen und bei der extrakorporalen Lungenunterstützung eingesetzt. Die ersten Berichte über Oxygenatoren bzw. in diesem Fall über eine Membranlunge gehen bis ins 19. Jahrhundert zurück [95, 123]. Der erste dokumentierte, erfolgreiche klinische Eingriff fand 1953 statt [55, 171]. Seither haben die Oxygenatoren einen starken Wandel erfahren. Die ersten Entwicklungen waren Film- und Blasenoxygenatoren. Dabei kamen Blut und Gas direkt miteinander in Berührung. Das Gas wurde entweder durch das Blut geströmt oder die Kontaktoberfläche zwischen Gas und Blut wurde durch Ausbringen eines Blutfilms stark vergrößert. Beide Methoden führen zu einem guten Austausch der Gase. Der direkte Kontakt von Gas und Blut hat jedoch in beiden Fällen eine starke Traumatisierung des Blutes zur Folge. Dieser Nachteil wurde durch die Einführung von Membranoxygenatoren, in denen Blut und Gas durch eine Membran getrennt sind, überwunden. Heutzutage haben sich weitestgehend mikroporöse Hohlfasermembranen etabliert. Dabei wird das Gas durch ein Hohlfaserbündel geführt, das von Blut umströmt wird. Durch die Porosität der Membran ist es den Gasen möglich, per Diffusion in die jeweils andere Phase überzugehen. Durch die Zusammensetzung und Fließgeschwindigkeit der Frischgaszufuhr des Oxygenators können die im Blut erzielten Konzentrationen an Sauerstoff und Kohlenstoffdioxid gesteuert werden. Bei der ECLA kommen über diese Minimalausstattung hinaus häufig Blutpumpen und Wärmetauscher zum Einsatz. 22 3.2 Extrakorporale Lungenunterstützung (ECLA) Die ECLA-Therapie hat starke Ähnlichkeit mit der Anwendung einer Herz-LungenMaschine (HLM); ein großer Teil der eingesetzten Materialien und Erkenntnisse basiert auf der HLM. Der Einsatz einer HLM ist jedoch meist als vollständiger Herzersatz bzw. HerzLungen-Ersatz (Bypass) vorgesehen und wird meist im Rahmen eines (herzchirurgischen) Eingriffs genutzt. Während der Anwendung einer HLM ist dauerhaft mindestens ein dedizierter Kardiotechniker für deren Betrieb anwesend. Eine ECLA wird dagegen im Rahmen der Therapie auf der Intensivstation eingesetzt. Es sind nur sporadische Eingriffe von spezialisiertem Personal vorgesehen, jedoch keine dauerhafte personelle Überwachung. 3.2.1 Konfigurationen der ECLA Die verschiedenen Formen der ECLA können durch die Positionierung der Kanülierung unterschieden werden, wobei zwischen drei Konfigurationen10 unterschieden wird: • arterio-venöse ECLA (AV-ECLA): Das Blut wird aus einer Arterie (z. B. der Arteria femoralis) entnommen und nach der extrakorporalen Behandlung in eine Vene (z. B. Vena femoralis oder Vena jugularis externa) zurück gegeben [18, 90]. • veno-arterielle ECLA (VA-ECLA): Das Blut wird aus einer Vene (z. B. Vena femoralis oder Vena jugularis interna) entnommen und nach der extrakorporalen Behandlung in eine Arterie (z. B. der Arteria femoralis) zurück gegeben [107]. • veno-venöse ECLA (VV-ECLA): Das Blut wird aus einer Vene (z. B. der Vena femoralis) entnommen und nach der extrakorporalen Behandlung in eine andere, dem Herzen nähere Stelle im venösen System (z. B. Vena jugularis interna oder Vena subclavia) zurück gegeben [130]. AV-ECLA und pECLA Bei dieser Form der Kanülierung kann die durch das Herz erzeugte Druckdifferenz von arteriellem zu venösem System ausgenutzt werden, um den extrakorporalen Fluss zu erzeugen [87]. Wird die Lungenunterstützung pumpenlos betrieben, spricht man auch von einer pumpenlosen extrakorporalen Lungenunterstützung (pECLA). Die pECLA kann nur bei Patienten mit ausreichender Herzfunktion betrieben werden, da anderenfalls nicht sichergestellt werden kann, dass der extrakorporal durchgeführte Gasaustausch die Lunge in ausreichendem Maß unterstützt [98]. Der Betrieb der ECLA ohne Pumpe senkt verschiedene Risikofaktoren. Es kommt zu einer geringeren Blutschädigung, da kein Blutfluss zusätzlich zum Herzen erzeugt wird. Durch die nicht vorhandene Pumpe kann das extrakorporale Blutvolumen verringert werden, was zu einer geringeren Gefahr von Thrombenbildung sowie einem geringeren Wärme- und Blutverlust bzw. Blutverdünnung beim Patienten führt. Die pECLA ist die einzige Konfiguration, die ohne Blutpumpe betrieben wird. Der Nachteil der pECLA ist, dass arterielles Blut oxygeniert wird, was dazu führt, dass die Sauerstoffstoffmenge, welche ins Blut transferiert werden kann, im Vergleich zu venösem Blut geringer ist. 10 alle genannten Kanülierungspunkte sind in Abbildung 2.2 gezeigt 23 Blutpumpe Oxygenator 3 ARDS und ECLA Abbildung 3.1: Kanülierung der veno-venösen ECLA im hier vorgestellten Fall (Teile der Abbildung entnommen aus [169]) VA-ECLA In der veno-arteriellen Unterstützung stellt der extrakorporale Kreislauf einen Bypass zum Herzen und dem Lungenkreislauf dar [107]. Dadurch erfährt der Patient eine zusätzliche Herzunterstützung, da der extrakorporale Fluss zusätzlich zum vom Herzen geförderten Volumen erzeugt wird. Bei dieser Form der Kanülierung besteht die Gefahr einer Gasembolie in Organen, da die Rückgabe direkt in das arterielle System des Körperkreislaufs erfolgt. Bei der Rückgabe in den venösen Körperkreislauf passiert das Blut zuerst die Lunge, welche Gasblasen in einem begrenzten Maß ausfiltern kann. VV-ECLA Abbildung 3.1 zeigt eine mögliche Kanülierung der VV-ECLA. Dabei wird Blut beidseitig in der Vena femoralis entnommen und in die Vena jugularis interna zurück geführt. Die doppelte Entnahmekanülierung wird durchgeführt, um den Unterdruck an der Entnahmestelle gering zu halten und so ein Ansaugen der Gefäßwand an die Kanüle zu vermeiden bzw. einen höheren extrakorporalen Blutfluss zu ermöglichen. Eine andere Möglichkeit der Kanülierung bietet eine Doppellumenkanüle. Dabei besitzt die eingeführte Kanüle zwei voneinander getrennte Querschnitte (Lumen). Durch das dem Herzen entfernter gelegenen Lumen wird das Blut entnommen und durch das zweite, herznahe Lumen wird das behandelte Blut zurückgegeben. Diese Kanüle verringert den Umfang des notwendigen invasiven Eingriffs, verringert dadurch jedoch auch das extrakorporal förderbare Volumen. 24 3.2 Extrakorporale Lungenunterstützung (ECLA) Grundsätzlich besteht bei der veno-venösen ECLA die Gefahr, Teile des nach der extrakorporalen Behandlung zurück in den Körper geführten Blutflusses direkt wieder an der Entnahmekanüle anzusaugen. Diesen Rückfluss gilt es zu vermeiden. Die Angaben im weiteren Verlauf dieser Arbeit beruhen auf der Konfiguration der VV-ECLA. Konfigurationsparameter der ECLA Das Ziel der ECLA ist eine gesicherte Sauerstoffversorgung des Patienten und ein ausreichender Abbau von Kohlenstoffdioxid. Sie wird eingesetzt, um die Lunge zu entlasten und ihre Regenerationsmöglichkeiten zu verbessern. Die den Betrieb der ECLA beeinflussenden Parameter sind: • der erzeugte extrakorporale Blutfluss QBlut , • der Gasfluss durch den Oxygenator QGas , • die Zusammensetzung des Gasflusses durch den Oxygenator fO2 bzw. fN2 . In Kapitel 2.1.4 wurde aufgezeigt, dass die Bluttemperatur ein weiterer den Gasaustausch beeinflussender Faktor ist. Da diese aber im Idealfall konstant auf Normaltemperatur (normotherm) gehalten wird, kann der Einfluss der Temperatur als Konfigurationsparameter vernachlässigt werden. Die Begasung des Oxygenators setzt sich im klinischen Fall meist aus Sauerstoff und Stickstoff zusammen. Es gilt daher: fO2 = 1 − fN2 . Die treibende Kraft des Gasaustauschs ist in beiden Fällen die Partialdruck- bzw. Konzentrationsdifferenz zwischen der Blut- und der Gasphase im Oxygenator. Je höher die Differenz der Konzentration eines Gases von der Gas- zur Blutphase ist, desto größer ist die ausgetauschte Stoffmenge pro Zeiteinheit. Stoffmengentransfer Die Ausgangsgrößen des Oxygenators sind die Stoffmengenkonzentrationen von Sauerstoff und Kohlenstoffdioxid bzw. die entsprechenden Partialdrücke. Die transferierte absolute Stoffmenge jedes dieser Gase hängt direkt von der Blutflussrate durch den extrakorporalen Kreislauf ab. Somit resultiert der einzustellende minimale Blutfluss aus den zu transferierenden Stoffmengen bzw. dem absoluten Bedarf des Patienten. Kohlenstoffdioxidkonzentration Die Konzentrationsdifferenz in Bezug auf Kohlenstoffdioxid von Blut- zu Gasphase im Oxygenator ist im statischen Fall immer maximal, da die Begasung des Oxygenators keinen Kohlenstoffdioxidanteil enthält. Im dynamischen Fall wird die Diffusionsgeschwindigkeit von Kohlenstoffdioxid im Oxygenator durch den Gasfluss im Oxygenator beeinflusst, da durch einen höheren Gasfluss durch den Oxygenator die durch Diffusion erzeugte lokale Kohlenstoffdioxidkonzentration in der Gasseite des Oxygenators verringert wird [121]. 25 3 ARDS und ECLA Auswirkung ECLA-Parameter QBlut QGas fO2 ∆cO2 ∆nO2 ∆cCO2 ∆nCO2 ↓ ↑ ↑ ↑ ∼ ∼ Tabelle 3.2: Relevante Konfigurationsparameter der ECLA Sauerstoffkonzentration Die Sauerstoffkonzentration in der Rückgabe des extrakorporalen Kreislaufs wird analog zur Kohlenstoffdioxidkonzentration vom Gasfluss durch den Oxygenator beeinflusst. Zusätzlich wirkt sich der Anteil von Sauerstoff am Gas, welches durch den Oxygenator geleitet wird (fO2 ), auf die Sauerstoffkonzentration im Blut aus. Da der Einfluss der Gaszusammensetzung viel größer als der des Gasflusses ist, kann die Parametrierung der Sauerstoffkonzentration in der Regel auf dem Sauerstoffanteil fO2 -basierend durchgeführt werden [121]. Die Einflüsse der ECLA-Parameter auf die dem Körper zugeführte Stoffmengenkonzentration cGas bzw. absolute Stoffmenge nGas eines Gases sind in Tabelle 3.2 qualitativ aufgelistet. Überwachte Signale Aktuell werden für die klinischen Überwachung einer ECLA verschiedene Signale verwendet. Dazu gehört an erster Stelle die arteriell-periphere Sauerstoffsättigung (Sp O2 ) des Patienten (meist photometrisch gemessen) als einer der Zielparameter der Therapie. Die technischen Ein- und Ausgangswerte des Oxygenators (Sauerstoff- und Kohlenstoffdioxidpartialdrücke pO2 , pCO2 ) sowie weitere Blutwerte (pHWert, Hkt und Hb-Gehalt des Blutes) werden in einer intermittierenden Blutgasanalyse (BGA) bestimmt. Zusätzlich werden die Blutgaswerte im pulmonalen Kreislauf (sowohl vor als nach der Lunge) erhoben. Die Blutgerinnung wird ebenfalls in regelmäßigen Abständen, z. B. durch die Bestimmung der activated clotting time (ACT), überwacht. Diese sollte durch die Gabe von Antikoagulanzien ausreichend hoch gehalten werden, um Thrombenbildung zu vermeiden. Der erzielte extrakorporale Blutfluss und teilweise auch die Gasflüsse werden kontinuierlich erhoben. Ebenso werden verschiedene Drücke (an der Entnahmekanüle, vor oder nach dem Oxygenator sowie der zentralvenöse Druck des Patienten) gemessen. Über die genannten Signale hinaus werden ECLA-Patienten in der Regel regulär intensivmedizinisch überwacht, da die Notwendigkeit einer ECLA-Therapie typischerweise mit einem sehr schlechten allgemeinen Zustand einher geht. Das intensivmedizinische Monitoring umfasst daher unter anderem eine Überwachung der Herzfunktion (incl. EKG), der Atmung, der Körperkerntemperatur, verschiedener Blutdrücke und der Sauerstoffsättigungen (z. B. arteriell, zentralvenös oder gemischtvenös). 26 3.2 Extrakorporale Lungenunterstützung (ECLA) 250 4000 3500 200 3000 2500 150 2000 100 1500 1000 50 500 0 Zentren Fälle 1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 83 86 98 111 111 112 115 112 115 111 114 2001 2002 113 117 115 117 126 129 131 141 151 163 179 200 1644 1775 1933 1909 1879 1876 1868 1743 1720 1722 1857 1853 1905 1966 1907 2172 2335 2543 2733 3121 3111 3568 3545 0 Abbildung 3.2: Entwicklung der ECMO-Anwendungen pro Jahr und behandelnden Zentren (weltweit) (Abbildung entnommen aus [45]) 3.2.2 Limitierungen der ECLA Die ECLA wird aktuell nur als Ultima-Ratio-Therapie eingesetzt. Dies begründet sich durch den hohen Personalbedarf (ein Kardiotechniker und ein im Umgang mit der ECLA erfahrener Herzchirurg oder Anästhesist), die notwendige apparative Ausstattung [49], aber auch die mit einer ECLA-Therapie verbundenen Kosten und Komplikationsrisiken. Die Extracorporeal Life Support Organization (ELSO) wertet seit 1990 ECMOAnwendungen weltweit aus. In Summe wurden bis zum Jahr 2012 53 190 ECMOBehandlungen mit einer durchschnittlichen Überlebensrate von 73 % registriert. Die Behandlungen teilen sich dabei in die folgenden Anwendungen auf: 60,2 % neonatal, 25,6 % pädiatrisch und 14,1 % adult. Im Jahr 2012 gab es weltweit 200 registrierte ECMO-Zentren, die 3 500 Behandlungen durchführten [45]. Abbildung 3.2 zeigt die Entwicklung der ECMO-Behandlungen und Zentren seit Beginn der Auswertungen der ELSO. Für die mit einer ECMO-Behandlung verbundenen Kosten sind stark divergente Werte publiziert, da die Publikationen unterschiedliche Zielsetzungen bzw. Auswertungsmethodiken hatten. Hinzu kommt, dass teilweise nur ECMO-Behandlungen bei Neugeborenen ausgewertet wurden bzw. die Zahlen teilweise schon über 20 Jahre alt sind. Im Rahmen der CESAR-Studie wurden durchschnittliche Kosten für eine ECMO-Behandlung in Höhe von £73 979 erhoben [128, 129]. Für Neonaten wurden im Jahr der Einführung der ECMO-Behandlung (1985) im Children’s Hospital National Medical Center, Washington, DC Kosten in Höhe von $98 320 [126], von 1985 bis 1988 in Ann Arbor, MI $49 500 [147] und von 1997 bis 2002 in Amsterdam und Toronto e93 52811 [167] pro Behandlung ermittelt. Eine weitere Limitierung der ECLA sind die mit der Therapie verbundenen Komplikationen. In der Praxis sind verschiedene Schwierigkeiten bekannt, die auf eine ECLA-Therapie zurückzuführen sind. Sie lassen sich in technische und medizinische Komplikationen aufteilen. 11 inkl. Folgekosten in 5 Jahren betragen die Kosten pro Behandlung e176 467. 27 3 ARDS und ECLA Technische Komplikationen Die einzelnen Komponenten der ECLA können auf vielfältige Arten ausfallen bzw. Komplikationen verursachen: • Durch unzureichende Antikoagulation kann sich in der Blutpumpe bzw. dem Oxygenator ein Thrombus bilden, was aufgrund der verminderten Leistungsfähigkeit einen Austausch der betroffenen Komponente notwendig macht. Darüber hinaus kann der Pumpenantrieb oder die Pumpensteuerung ausfallen. Die einzelnen Schlauchverbindungen können sich lösen bzw. Undichtigkeiten aufweisen [60, 120, 121]. • Bei Membranen aus Polypropylen (PP) treten ab ca. 8 − 16 Stunden Betrieb kontinuierlich geringe Mengen Blutplasma aus der Blut- in die Gasphase über. Dadurch wird der Gasfluss durch den Oxygenator und den Stofftransfer durch die Membran erschwert, was die Gastransferleistung des Oxygenators fortlaufend verringert [44, 116]. • Die für die extrakorporale Zirkulation genutzten Kanülen können bei zu hohem Fluss die sie umgebende Gefäßwand ansaugen. Dies führt zu einem abrupten Abfall des extrakorporalen Flusses. Außerdem können sich die Kanülen bei unzureichender Befestigung innerhalb des Gefäßes verlagern bzw. ganz aus dem Gefäß austreten [121]. • In der extrakorporalen Zirkulation können Mikroblasen entstehen, die über den Rückfluss in den Patienten gelangen und dort eine Mikroembolie durch Zusetzen von Kapillargefäßen hervorrufen [121, 146]. Medizinische Komplikationen • Während der ECLA-Behandlung kann es durch die notwendige Antikoagulation zu verschiedenen Formen von Blutungen kommen, sei es an den Stellen, an denen chirurgisch in den Patienten eingegriffen wurde (z. B. an den Kanülierungspunkten), aber auch an anderen, nicht direkt durch die ECLA betroffenen Stellen. Im Gegenzug ist durch unzureichende Antikoagulation die Bildung von Thromben möglich, die einen Infarkt auslösen können [59, 60, 96, 120]. • Durch das Anschließen der ECLA wird die Füllflüssigkeit des Systems (Kochsalzlösung) in den Blutkreislauf des Patienten eingebracht. Dies kann zu einer starken Blutverdünnung führen, was in der Konsequenz Bluttransfusionen nach sich zieht [120]. • Schließlich kann die ECLA-Therapie die Herzfunktion auf verschiedenen Wegen negativ beeinflussen, sodass kardiale Komplikationen auftreten [60]. 28 3.3 Projektziele von SmartECLA 3.3 Projektziele von SmartECLA Das Ziel des Projektes SmartECLA war, eine breitere Anwendung der ECLA zu ermöglichen. Diese komplexe Fragestellung wurde, aufgeteilt in vier Aufgabenfelder, durch die interdisziplinären Projektpartner an der RWTH Aachen bearbeitet. Die eingesetzte Hardware, im Speziellen der Oxygenator, sollte konstruktiv durch das Institut für Angewandte Medizintechnik überarbeitet werden, sodass die negativen Auswirkungen einer ECLA-Anwendung auf den Patienten reduziert werden. Durch eine auf das Anwendungsszenario ausgelegte Regelung sollte es weniger spezialisierten Anwendern ermöglicht werden, diese Therapieform einzusetzen. Dieser Aspekt wurde durch den Lehrstuhl für Medizinische Informationstechnik vorangetrieben. Die konstruktiven und regelungstechnischen Verbesserungen sollten durch ein Sicherheitskonzept untermauert werden, das den Betrieb der ECLA auch in Gegenwart von Störeinflüssen und Fehlern ermöglicht. Dieses Feld wurde durch den Lehrstuhl für Informatik 11 bearbeitet und die Ergebnisse sind in dieser Arbeit dargestellt. Zur Evaluation der erzielten Ergebnisse und um die Machbarkeit zu zeigen, sollte durch die Klinik für Anästhesiologie ein Tiermodell etabliert werden, das eine belastbare In-vivo-Validierung ermöglicht. In Summe war es das Ziel des Projektes den Status als Ultima-Ratio-Therapie zu überwinden und so die ECLA als Therapieform neuen Patientengruppen zu eröffnen. 3.4 Projektansatz von SmartECLA Die definierten Ziele wurden durch Optimierungen des technischen Systems für eine ECLA-Therapie in drei Bereichen adressiert: 1. Der konstruktive Aufbau wurde überarbeitet, sodass das benötigte extrakorporale Volumen (das statische Füllvolumen) verringert werden konnte. Diese Maßnahme geht mit einer Reduktion der Blutkontaktoberfläche einher, was zu einem verringertem Gerinnungsaktivierungs- und Entzündungsrisiko, aber auch zu einer geringeren Blutverdünnung (Hämodilution) führt [83,91,148,149]. Zusätzlich wurde durch diese Maßnahmen der Temperaturverlust des behandelten Patienten so weit eingedämmt, dass auf einen zusätzlichen Wärmetauscher verzichtet werden konnte. Durch numerische Strömungssimulation (CFD) konnte der Blutfluss so optimiert werden, dass geringere Scherkräfte auf das Blut wirken, was eine Verringerung der Hämolyse zur Folge hat [27, 158,159]. Der Einfluss von negativen Entnahmedrücken auf die Hämolyse wurde untersucht [ADBM+ 10]. 2. Für die automatisierte Therapie wurde ein kaskadiertes, patientenorientiertes Regelungskonzept ausgearbeitet [WBS+ 12]. Damit wird die Anwendung der ECLA in größerem Umfang als bisher ermöglicht, da der behandelnde Mediziner in die Lage versetzt wird eine ECLA ohne Detailkenntnisse der unterlagerten technischen Vorgänge mit physiologisch adäquaten Werten zu parametrieren. 29 3 ARDS und ECLA - SpO2,Soll AP Vorgabe pvCO , Soll 2 - pO2,Soll Physio control O2-Regler fO QBlut Oxygenator pCO2,Soll - CO2-Regler QGas SpO2 pO2 2 Patient pCO2 pvCO2 - Abbildung 3.3: Schematische Struktur der erarbeiteten Regelungsstrategie (Abbildung angelehnt an [WSW+ 10]) Abbildung 3.3 zeigt die Struktur der kaskadierten Regelung, die in Kapitel 3.6 genauer beschrieben wird. Das erarbeitete Regelungskonzept und im speziellen die der Regelung zugrunde liegenden Messgrößen werden in Abschnitt 3.6 detailliert vorgestellt. 3. Mit einem Sicherheitskonzept wird die Schädigung bzw. Gefährdung des Patienten verhindert. Im Rahmen der vorliegenden Arbeit wurde ein auf modellbasierten Sicherheitsmaßnahmen fußendes, dezentrales Sicherheitskonzept entwickelt. Außerdem wurde eine Softwarearchitektur erarbeitet, mit der die den Sicherheitsmaßnahmen zugrunde liegenden Algorithmen effizient implementiert werden können. Dazu wird zunächst in Kapitel 4 der Systemaufbau analysiert. Ausgehend von den identifizierten, zu behandelnden Fehlerfällen werden in Kapitel 5 verschiedene Sicherheitsmaßnahmen erarbeitet. Zur Umsetzung dieser Maßnahmen wird in Kapitel 6 eine modulare Hardwareplattform und in Kapitel 7 eine Softwarearchitektur entwickelt. Diese ermöglicht zugleich eine effiziente Planung der zur Verfügung stehenden Ressourcen und Einbettung der erarbeiteten Sicherheitsmaßnahmen im Systemaufbau. Für die Evaluation der erzielten Ergebnisse wurde ein Tiermodell mit Schweinen entwickelt, welches im Gegensatz zu bisher etablierten Modellen eine Variation des Lungenschädigungsgrades ermöglicht. Durch dieses Tiermodell wurde die Simulation verschiedener Stadien des ARDS ermöglicht. Weiterführende, teils nicht an anderer Stelle veröffentlichte Informationen zum Projekt SmartECLA sind im Abschlussbericht, der der Deutschen Forschungsgemeinschaft zur Begutachtung vorgelegt wurde, dargestellt. 3.5 Systemaufbau Der schematische Systemaufbau von SmartECLA ist in Abbildung 3.4 dargestellt. Im Folgenden wird auf die einzelnen Komponenten gruppiert nach Sensoren, Datenverarbeitung, Aktuatoren und sonstigen Komponenten eingegangen. Im Anhang A.2 werden weiterführende Details zu einem Teil der erläuterten Komponenten gegeben. 30 3.5 Systemaufbau Patientenmonitor Beatmung F O2,pBeatmung,VBeatmung, RR, O2 N2 Puls, Blutdruck, SO2 RS 232 Pumpe Herzzeitmonitor Gasmischer ASMO Knoten online Blutgasanalysator pO2, pCO2, pH K+, temp Gasflusssoll FiO2 Flusssensor Blutflussist Blutflusssoll RS 232 CAN CAN ASMO Knoten ASMO Knoten CAN Abbildung 3.4: Schematischer Systemaufbau der in SmartECLA genutzten Komponenten (Abbildung angelehnt an [SGW+ 11, 90]) 3.5.1 Sensoren Sowohl die eingeführte Regelung als auch das erarbeitete Sicherheitskonzept nutzt verschiedene Messwerte. Die erhebenden Sensoren sind teils im medizinischen Alltag etablierte Monitore, teils jedoch auch im Rahmen des Projektes entwickelte Komponenten. Dieser Abschnitt befasst sich mit Bauteilen bzw. Geräten zur Aufnahme von Messwerten. Auf Aktuatoren, die zusätzlich Messwerte erheben, wird im weiteren Verlauf des Kapitels gesondert eingegangen. Online-Blutgasanalysator Die Terumo CDI 500 Online-Blutgasanalyse (BGA) misst kontinuierlich mittels drei Sensoren unterschiedliche Blutgaswerte [161]. Die meisten Messungen erfolgen photochemisch, d. h. die Sensoren arbeiten verbrauchend und können nur über einen begrenzten Zeitraum eingesetzt werden. Ein Sensor (H/S Cuvette) erfasst globale Blutmesswerte wie den Hämatokrit (Hkt), den Hämoglobingehalt (Hb) und die Sauerstoffsättigung (SO2 ) vor dem Oxygenator [14]. Die beiden weiteren eingesetzten Sensoren (Shunt-Sensor) sind baugleich und werden vor und nach dem Oxygenator eingesetzt, um die Prozessgrößen des Oxygenators zu bestimmen. Dabei handelt es sich um den pH-Wert, die Partialdrücke von Sauerstoff (pO2 ) und Kohlenstoffdioxid (pCO2 ), die Konzentration freier KaliumIonen (K + ) und die Bluttemperatur. Fußend auf den vorgestellten Messwerten errechnet 31 3 ARDS und ECLA das Gerät weitere Werte wie die Sauerstoffsättigung nach dem Oxygenator oder die Bicarbonatkonzentration. Patientenmonitor Als allgemeiner Patientenmonitor wurde ein Datex-Ohmeda AS/3 eingesetzt. Dieser Monitor ist modular aufgebaut. In eine Basiseinheit werden verschiedene Module eingeschoben. In Abhängigkeit von den eingeschobenen Modulen definiert sich der Funktionsumfang des AS/3. Im Allgemeinen wurden während der Tierversuche die folgenden Module genutzt: • EKG • Spirometrie (Atemgasanalytik) • Druckmessung • Adapter auf Herzzeitmonitor. Die durch diese Module bestimmten Signale sind u. a. EKG, Puls, Beatmungsfluss und -druck, Zusammensetzung des Ein- und Ausatemgases, Beatmungsrate, verschiedene Blutdrücke und arteriell-periphere Sauerstoffsättigung (Sp O2 ). Herzzeitmonitor Der genutzte Herzzeitmonitor Vigilance des Herstellers Edwards Lifesciences misst mithilfe eines Swan-Ganz-Katheters (SGK) [160] in der Arteria pulmonalis die Signale: Herzzeitvolumen (HZV), Sv O2 , Puls, zentralvenöser Blutdruck, intrakardiale Bluttemperatur sowie durch eine Interaktion mit dem behandelnden Personal den Pulmonalarterienverschlussdruck (PCWP). Hämodynamischer Monitor Als weiterer hämodynamischer Monitor wurde der PiCCO2 der Firma PULSION Medical Systems SE verwendet. Dieser Monitor überwacht die zentralvenösen Blutgaswerte. Für die Messung wird ein Katheter genutzt, über den eine Flussmessung mittels Thermodilution durchgeführt wird, und eine CeVOX Sonde, welche die Sauerstoffsättigung im Blut mittels einer Fiberoptik plethysmographisch misst. Im vorliegenden Aufbau wurde die CeVOX Sonde entgegen der Auslegung, arteriell genutzt, um eine Sättigungsreferenz nach Durchströmen der Lunge zu erhalten (vgl. Abschnitt 3.6). Blutflussmessgerät Der Flusssensor HT 110 der Firma Transonic Systems Inc. misst den Blutfluss in einem definierten Schlauch kontaktlos mittels Ultraschall. Dazu wertet das Messgerät die durch den Blutfluss hervorgerufene Laufzeitdifferenz der Ultraschallwellen aus [166]. Im vorliegenden Fall erfolgt diese Ultraschalllaufzeitmessung redundant zur Verringerung 32 3.5 Systemaufbau Sondengehäuse Kabel Schlauch Messwandler Abbildung 3.5: Schematischer Aufbau des Ultraschall Flusssensors (Abbildung entnommen aus [166]) von Messrauschen (siehe Abbildung 3.5). Damit die Messung valide Ergebnisse erzielen kann, muss an der Messstelle im Schlauch eine quasilaminare Strömung vorliegen. Das Messgerät besitzt zwei analoge Ausgänge, an denen das Flusssignal abgegriffen werden kann. Am Ausgang pulsatile wird das Messergebnis mit einem 5 Hz Tiefpass gefiltert, am Ausgang average wird das Messergebnis mit einem 0,1 Hz Tiefpass gefiltert. Drucksensoren Im Rahmen der vorliegenden Arbeit wurde zur kontinuierlichen Online-Erfassung von vier Druckmesskanälen ein Aufbau entwickelt. Details zur technischen Umsetzung sind in Abschnitt 6.2 dokumentiert. Temperatursensor Als zweite Erweiterung wurde eine Schaltung entwickelt, die den Temperaturmesskanal eines SGK auslesen kann. Details zur technischen Umsetzung sind in Abschnitt 6.3 gegeben. 3.5.2 Datenverarbeitung Wie in Abbildung 3.4 dargestellt, werden die in Kapitel 3.5.1 vorgestellten Sensoren sowie die zentrale Regelung und die Aktuatoren miteinander verbunden. Als zentrale Regelung wurde eine Plattform der Firma dSPACE ausgewählt, die im Folgenden genauer vorgestellt wird. Da die gebotenen Schnittstellen der Plattform in Anzahl bzw. Umfang nicht ausreichend sind, um alle vorgestellten Sensoren zu verbinden, wurde das System zusätzlich um dezentrale Sicherheitsknoten erweitert, welche die erhobenen Daten der verschiedenen Sensoren auslesen und in ein zentrales Kommunikationsnetz einspeisen. Durch die etablierte heterogene Kommunikationsstruktur ist eine Entkopplung der Regelung und des Sicherheitskonzeptes für die Anwendung abbildbar. Das Netzwerk 33 3 ARDS und ECLA aus verteilten eingebetteten Mikrocontrollern ermöglicht neben der Übersetzung der Sensordaten auch die Implementierung von Sicherheitsalgorithmen auf diesen Knoten. Aufgrund des zentralen Kommunikationskanals können alle Mess- bzw. Stellwerte auf allen Knoten ausgewertet werden. dSPACE MicroAutoBox Als zentrale Regelungsplattform wurde eine MicroAutoBox der Firma dSPACE eingesetzt. Diese Rapid Control Prototyping (RCP)-Plattform verfügt über verschiedene Schnittstellen. Die Programmierung dieses RCP-Systems erfolgt mithilfe von MATLAB/Simulink. Die genutzte MikroAutoBox verfügt über eine RS-232-Schnittstelle. Da mehr als ein Gerät im System vorhanden ist, welches die gewonnenen Messdaten via RS-232Schnittstelle ausgibt, wurde ein alternativer Kommunikationskanal zwischen dem RCPSystem und den umgebenden Komponenten hergestellt. Ausgehend von den zur Verfügung stehenden Schnittstellen wurde die Controller Area Network (CAN)-Schnittstelle zum globalen Datenaustausch ausgewählt. Mikrocontrollerbasierte Netzwerkknoten Die in Abschnitt 3.5.1 aufgezeigten Sensoren weisen unterschiedliche Schnittstellen mit uneinheitlichen Protokollen auf. Aus diesem Grund wurde eine Plattform entwickelt, welche die verschiedenen Signale in ein einheitliches, den CAN-Bus nutzendes Protokoll übersetzt. Das Kernstück der entwickelten Mikrocontroller-Plattform ist der Chip AT91SAM7X256 der Firma Atmel (ARM7-Architektur). Im hier vorliegenden Fall wird der Mikrocontroller mit einer Taktrate von 48 MHz betrieben. Dieser 32 Bit Mikrocontroller stellt 256 kByte Programmspeicher, 64 kByte Arbeitsspeicher und verschiedene Schnittstellen zur Verfügung. Diese umfassen unter anderem: • einen CAN-Controller, • zwei USART-Controller, • zwei SPI-Controller, • zwei IO-Controller mit insg. 62 Datenleitungen, • acht Analog-Digital-Umsetzer (ADU) Kanäle, • direkten Speicherzugriff (DMA) für die zuvor genannten Controller, • verschiedene Timer, • eine JTAG-Schnittstelle. 34 3.5 Systemaufbau Abbildung 3.6: Vollständig bestücktes ASMO-Board ASMO-Board Im Rahmen der Arbeit wurde eine Schaltung entwickelt, die einen AT91SAM7X256 Mikrocontroller als Kernkomponente nutzt um die oben genannten Anforderungen zu erfüllen. Diese Plattform wurde in Hinblick auf Zuverlässigkeit und Betriebssicherheit entworfen. Details zu dieser Plattform sind in Abschnitt 6.1 bzw. Anhang A.3 zu finden. Abbildung 3.6 zeigt ein vollständig bestücktes ASMO-Board. Die Abkürzung ASMO lehnt sich an den griechischen Ausdruck für sichere Umwandlung (άσϕαλής μετασχηματίζω) an. 3.5.3 Aktoren Wie schon in Kapitel 3.2.1 erläutert wurde, sind die Konfigurationsparameter einer veno-venösen extrakorporalen Lungenunterstützung der erzeugte extrakorporale Blutfluss und der Gasvolumenstrom durch den Oxygenator bzw. die Zusammensetzung des Gasvolumenstroms. Das erklärte Ziel des Projektes SmartECLA, eine Regelung zu etablieren, machte als ersten Schritt die Entwicklung von elektronisch ansteuerbaren Aktuatoren für das System notwendig. Blutpumpe Im Fall von SmartECLA wird eine veno-venöse Kanülierung des extrakorporalen Kreislaufes vorgenommen. Entnahme- und Rückgabepunkt liegen im gleichen (venösen) Drucksystem des menschlichen Körpers. Um einen Fluss durch das extrakorporale System zu erzeugen, muss also eine Blutpumpe in das System integriert werden. 35 3 ARDS und ECLA Abbildung 3.7: Pumpenkopf der Medos DP2 mit eingezeichnetem Blutvolumenstrom Diagonalpumpe In einer Diagonalpumpe wird ein Volumenelement durch ein Pumpenrad bzw. einen Rotor in Rotation versetzt. Durch die Zentripetalkraft hat dieses Volumenelement im Pumpenkopf das Bestreben nach außen zu wandern. Axial zum Pumpenrad ist der Einlass angeordnet, seitlich am Pumpenkopf ist ein Auslass angesetzt, durch den das Volumenelement austreten kann. Auf diese Weise wird ein Volumenstrom erzeugt. Häufig sind bei dieser Form der Pumpen der Pumpenkopf und der Antrieb getrennt ausgeführt. Der Pumpenkopf stellt das Einwegprodukt dar, welches direkt mit Blut in Berührung kommt, und eine Druckdifferenz erzeugt. Der Pumpenantrieb ist wiederverwendbar, da er keinen direkten Kontakt zu Blut erfährt. Abbildung 3.7 zeigt ein Foto des genutzten Blutpumpenkopfes Medos DP2 mit eingezeichnetem Volumenstrom. Die Diagonalpumpe zählt zur Klasse der Strömungsmaschinen. D. h. der Volumenstrom hängt nicht direkt von der Winkelgeschwindigkeit ab, sondern der Volumenstrom wird durch die Druckverhältnisse, die vor und nach der Pumpe herrschen, respektive den Gefäßwiderstand des Patienten, beeinflusst. Motiviert durch die Möglichkeit, eine Diagonalpumpe final direkt in den Oxygenator zu integrieren, wurden im Verlauf des Projektes Diagonalpumpen der Firma Medos genutzt. In den durchgeführten Versuchen wurde die Blutpumpe DP 2 sowie ein in den Oxygenator integrierter DP3 Pumpenkopf eingesetzt. Alle Pumpen nutzen einen Motor der Firma Maxon als Antrieb. Die Kraftübertragung vom Motor zum Pumpenrad erfolgt mithilfe einer Magnetkupplung. Ansteuerung der Diagonalpumpe Der Antrieb aller verwendeten Diagonalpumpen erfolgt durch einen bürstenlosen Gleichstrommotor. Zur Ansteuerung wurde ein 4Quadranten-Drehzahlregler des Motorherstellers Maxon (Modell 4-Q-EC DECV 50/5) genutzt [108]. Mit diesem Drehzahlregler lassen sich Drehzahl, Drehrichtung sowie die maximal in den Motor eingespeiste Leistung einstellen. Die Drehzahl wird durch eine analoge Spannung zwischen 0 Volt und +5 Volt vorgegeben. Die Regelverstärkung und die maximale Drehzahländerung des Drehzahlreglers lassen sich über entsprechende Schalter konfigurieren. 36 3.5 Systemaufbau Abbildung 3.8: Entwickelte Konsole zur Regelung der eingesetzten Diagonalpumpen (Abbildung entnommen aus [Gathmann(2011)]) Pumpenkonsole Zur besseren Ansteuerung der eingesetzten Diagonalblutpumpen wurde – als Schnittstelle zwischen Anwender und Pumpe – eine Pumpenkonsole entwickelt, mit der die Blutpumpe sowohl drehzahl- als auch volumenstromgeregelt eingesetzt werden kann [Gathmann(2011)]. Abbildung 3.8 zeigt die Frontansicht der Konsole. Die Stellwerte können manuell an der Fronseite der Konsole oder über das zentrale CAN-Netzwerk vorgegeben werden. Auf die Entwicklung der Regelung wird in 6.4.2 eingegangen. Die zur Regelung eingesetzte Hardware der Pumpenkonsole basiert auf dem in Abschnitt 3.5.2 vorgestellten ASMO-Board. Dieses wurde um einen ATmega 644 erweitert, der die Ansteuerung der LCDs und LEDs durchführt. Gasmischer Der eingesetzte Gasmischer wurde im Rahmen einer Abschlussarbeit am Lehrstuhl für Medizinische Informationstechnik [173] entwickelt. Er kann drei verschiedene Gase massenflusskontrolliert zusammenmischen. Er wurde für die Gase O2 , Stickstoff (N2 ) und Kohlenstoffdioxid (CO2 ) ausgelegt, wobei der CO2 -Kanal nur für Laborversuche genutzt wird. Der O2 - und der N2 -Volumenstrom kann zwischen 0 l/min und 15 l/min sowie der CO2 Volumenstrom kann zwischen 0 l/min und 1 l/min eingestellt werden. Die Ansteuerung erfolgt mittels analoger Spannung, die in einem Bereich von 0 Volt bis +5 Volt linear in den jeweiligen Volumenstrom umgesetzt wird. Zusätzlich zu den Stellwertanschlüssen gibt der Gasmischer eine dem jeweils erzeugten Volumenstom proportionale Spannung zur Stellwertvalidierung aus. 3.5.4 Weitere Medizingeräte In den vorherigen Abschnitten dieses Kapitels wurden die eingesetzten Sensoren, Aktuatoren und datenverarbeitende Systeme beschrieben. Darüber hinaus umfasst die Behandlung 37 3 ARDS und ECLA (a) Mikroporöse Polypropylen Membran Abbildung 3.9: (b) Composite Polymethylpenten Membran Rasterelektronenmikroskopieaufnahme von nen(Abbildung entnommen aus [90]) Hohlfasermembra- mit einer extrakorporalen Lungenunterstützung den Einsatz einer künstlichen Beatmung und eines Oxygenators, der die Lungenfunktion im extrakorporalen Kreislauf übernimmt. Siemens / Maquet Servo 300 Zur Beatmung der Versuchstiere wurde ein Servo Ventilator 300 der Firma Siemens eingesetzt. Dieses Gerät wurde im Gegensatz zu allen anderen im Systemaufbau vorkommenden Geräten nicht an die Steuerung bzw. zentrale Datenhaltung angebunden. Dieses vergleichsweise alte Modell eines Beatmungsgerätes wurde bewusst ausgewählt, da die Modellbildung des ARDS von einer hypoxischen Beatmung d. h. einer Beatmung mit einem Sauerstoffanteil von weniger als 21 %, ausgeht. Diese „lebensfeindliche“ und damit gegen das Sicherheitskonzept eines Beatmungsgerätes verstoßende Einstellung lässt sich beim Servo mit relativ geringem Aufwand realisieren. Oxygenator Im Projekt SmartECLA wurden Hohlfasermembranoxygenatoren eingesetzt, zum einen das Modell hilite 7000 der Firma Medos [112] und zum anderen der am Institut für Angewandte Medizintechnik entwickelte Highly Integrated Extracorporeal Membrane Oxygenator (HEXMO) [159]. Beide Oxygenatoren nutzen Polypropylen (PP)-Fasern, wobei der HEXMO überarbeitet wurde mit dem Ziel, die Gasaustauschfläche an die Projektanforderungen anzupassen und einen neuen Pumpenkopf zu integrieren. Abbildung 3.9 zeigt Aufnahmen der beiden Membrantypen. Die Polymethylpenten (PMP)-Fasern verhindern durch ihre geschlossene Membranoberfläche (Abb. 3.9(b) mit Pfeil markierte Stelle) eine Plasmaleckage (Übertritt von Blutplasma in die Gasphase). 38 3.6 Regelungskonzept 3.6 Regelungskonzept Der Oxygenator wurde in Anlehnung an verschiedene Veröffentlichungen [13, 61, 63, 67, 68, 117,118] als Mehr-Kompartimenten-Modell angenähert und die systemrelevanten Sensoren und Aktuatoren identifiziert [LWW+ 09]. Das resultierende Modell wurde genutzt um ein kaskadiertes Regelungskonzept auszuarbeiten. Abbildung 3.3 zeigt den schematischen Aufbau der Regelung [WSW+ 10]. Innerer Regelkreis Im inneren Regelkreis (in Abbildung 3.3 grau hinterlegt) werden die Stellgrößen Gasvolumenstrom QGas und Sauerstoffanteil fO2 des Oxygenationsprozesses bestimmt [WWS+ 09]. Da sich die Begasung des Oxygenators ausschließlich aus Sauerstoff und Stickstoff zusammensetzt, ergibt sich der Stickstoffanteil an der Begasung des Oxygenators zu fN2 = 1 − fO2 . Mithilfe der überlagerten Regelung wird der Blutvolumenstrom QBlut im Oxygenator eingestellt. Die Regelgrößen des inneren Regelkreises sind die Partialdrücke von Sauerstoff (pO2 ) und Kohlenstoffdioxid (pCO2 ) im Ausgangsblutstrom des Oxygenators. Die in der inneren Kaskade eingesetzten Algorithmen basieren jeweils auf einem PI-Regler, der um eine anti-windup (AWU)-Funktionalität12 und Gain-scheduling13 erweitert wurde [WWK+ 09]. Der Sauerstoff-Regler wurde zusätzlich als Smith-Prädiktor mit unterlagertem PI-Regler implementiert. Abbildung 3.10 zeigt das Ausregeln eines Sollwertsprungs für den Sauerstoffpartialdruck pO2 durch Anpassung der Stellgröße fO2 . Es wird eine Einstellzeit von weniger als 200 Sekunden mit geringem Überschwingen erreicht. Die Reaktion auf einen Störeinfluss durch einen Sprung im Sauerstoffanteil der künstlichen Beatmung ist in Abbildung 3.11 gezeigt. Die Störung kann innerhalb von 600 Sekunden ausgeregelt werden. Äußerer Regelkreis Der umgebende Regelkreis bezieht den Patienten mit in die Betrachtung ein. Das in den Organismus zurückgeführte Blut erzeugt abhängig vom Blutvolumenstrom QBlut und den Partialdrücken pO2 und pCO2 (die Stellgrößen des äußeren Regelkreises) den Stoffmengentransfer von Sauerstoff in den Patienten bzw. Kohlenstoffdioxid aus dem Patienten. Dieser Transfer wird mithilfe der Regelgrößen arteriellperiphere Sauerstoffsättigung Sp O2 und venöser Kohlenstoffdioxidpartialdruck pv CO2 hergestellt [WWS+ 10]. Die Führungsgrößen der überlagerten Regelung sind entsprechend Sp O2,Soll und pv CO2,Soll [BBS+ 11]. Unter diesen Vorgaben verbleibt der extrakorporale Blutfluss als Optimierungsgröße. Dieser wird so angepasst, dass der Oxygenator möglichst in seinem optimalen Arbeitspunkt bei kleinst möglichem extrakorporalen Blutfluss QBlut betrieben wird [WBB+ 11, WBA+ 11]. Die physiologisch motivierte Modellierung der äußeren Kaskade ermöglicht dem behandelnden Mediziner, die für ihn relevanten physiologischen Größen als Sollwerte der Regelung direkt vorzugeben. Somit kann er die Abläufe bzw. den Zustand des Systems besser einschätzen. Die inneren Prozessgrößen stehen dennoch zur Verfügung. Die etablier12 13 Das Aussetzen der Integration bei Erreichen von Stellwertbeschränkungen. betriebspunktabhängige Reglerverstärkung. 39 pO2 [mmHg] 3 ARDS und ECLA 350 Sollwert Messwert 300 Volumenstrom [L/min] 250 −50 0 50 100 150 200 8 6 Blut Gas 4 −50 0 50 100 Zeit [s] 150 200 fO2 [%] 100 90 fO2 Begasung Oxygenator 80 −50 0 50 100 Zeit [s] 150 200 pO2 [mmHg] Volumenstrom [L/min] fO2 [%] Abbildung 3.10: Verhalten der inneren Regelung bei Sollwertsprung 100 fO2 Beatmung 50 0 200 400 600 800 1000 3 Blut Gas 2.5 2 0 200 400 600 Zeit [s] 800 200 1000 Sollwert Messwert 150 0 200 400 600 Zeit [s] 800 1000 Abbildung 3.11: Ausregelung der Störeinflüsse durch die künstliche Beatmung 40 3.6 Regelungskonzept pO2 [mmHg] 500 400 300 Sollwert Messwert 200 pCO2 [mmHg] 0 500 1000 1500 2000 2500 3000 Sollwert Messwert 40 35 30 0 500 1000 1500 Zeit [s] 2000 2500 3000 Abbildung 3.12: Querempfindlichkeit der inneren Regler zueinander te kaskadierte Reglerstruktur entkoppelt die zu bewältigende Problemstellung, sodass z. B. das MIMO-System Oxygenator getrennt von der Physiologie des Patienten betrachtet werden kann [117]. Abbildung 3.12 zeigt die Entkopplung der internen Sauerstoff- und Kohlenstoffdioxidpartialdruckregelung. Die Änderung einer Führungsgröße führt zu geringen bis keinen Auswirkungen auf die Regelgröße des jeweils anderen Reglers. Die innere Kaskade kann bis zu einem gewissen Grad den Verschleiß des Oxygenators ausregeln, sodass die äußere Regelung unabhängig vom Grad der Abnutzung des Oxygenators betrieben werden kann. Diese Eigenschaften ermöglichen die Adaption der Regelung an einen wechselnden Gastransferbedarf des Patienten. Darüber hinaus erzeugt die innere Regelung durch ihre integralen Anteile eine Linearisierung der technischen Prozessgrößen wie z. B. das Sauerstoffbindungsverhalten von Blut, sodass die äußere Kaskade diesen Nichtlinearitäten keine Rechnung mehr tragen muss [WBS+ 12]. Die überlagerte Regelung wurde sowohl durch ein physiologisches Modell motivierten PI-Regler als auch als Black-Box-Ansatz (beruhend auf künstlichen neuronalen Netzen) implementiert. Die vorgestellte Regelungsstrategie konnte in 10 Tierversuchen erfolgreich validiert werden. Abbildung 3.13 zeigt exemplarisch das Resultat der überlagerten Regelung bei konstanten Führungsgrößen Sp O2,Soll und pv CO2,Soll unter Störeinflüssen durch Veränderung der Beatmungsparameter Sauerstoffanteil fO2 und Beatmungsrate anhand von Messdaten aus einem Tierversuch. Es ist gut zu erkennen, dass die Regelgrößen auch bei sprunghaften Störeinflüssen in einem engen Rahmen um die Führungsgrößen gehalten werden können. 41 3 ARDS und ECLA 20 18 16 14 13 12 10 8 6 13 100 95 90 13 46 44 42 13 13.5 13.5 13.5 13.5 14 14 14 14 14.5 14.5 14.5 14.5 15 15 15 15.5 15.5 15.5 15 15.5 Uhrzeit [h] 16 16 16 16 16.5 16.5 16.5 16.5 17 17 17 17 17.5 17.5 17.5 17.5 fO2 Beatmung Beatmungsrate SpO2,soll p 2 S O pvCO2,soll pvCO2 Abbildung 3.13: Physiologisch geregelter Betrieb der ECLA während eines Tierversuches Ausregelung von Störeinflüssen durch die künstliche Beatmung 42 fO2 [%] [Beatmungen/min] SpO2 [%] pCO2 [mmHg] 3.7 Verwandte Arbeiten Messgrößen, auf denen die Regelung basiert Die im folgenden Abschnitt aufgezeigten Signale müssen, aufgrund ihrer Verwendung im Regelungskonzept, auf geeignete Weise im Sicherheitskonzept berücksichtigt werden, um eine Schädigung des Patienten, ausgehend von falschen oder ausbleibenden Messwerten, zu verhindern. Die vorgestellte Regelungsstrategie ist auf verschiedene Messgrößen aus dem System angewiesen. Die innere Kaskade der Regelung verwendet die Sauerstoff- und Kohlenstoffdioxidpartialdrücke vor und nach dem Oxygenator, die mithilfe eines onlineBlutgasanalysators bestimmt werden. Zusätzlich werden die Messwerte eines Blutflusssensors, der den extrakorporalen Blutvolumenstrom misst, und eines selbst erstellten Gasmischers erfasst [WWS+ 09]. Der für die äußere Kaskade relevante venöse Kohlenstoffdioxidpartialdruck wird ebenfalls durch den Online-Blutgasanalysator erfasst [WWS+ 10]. Da am Markt keine Sensorik verfügbar ist, um den arteriellen Sauerstoffpartialdruck unmittelbar kontinuierlich zu erfassen, werden hierzu andere Messwerte herangezogen. Dies ist zum einen die per perkutaner Pulsoxymetrie erfasste arteriell-periphere Sauerstoffsättigung. Bei Zentralisierung des Patienten zeigt dieses Signal stärkere Abweichungen zur angestrebten arteriellen Sauerstoffsättigung [WBB+ 11]. Zum anderen wird die arterielle Sauerstoffsättigung mit einer invasiven Sonde mithilfe von fiberoptischer Oxymetrie bestimmt. Dieses Verfahren wurde allerdings nicht für die arterielle Anwendung entwickelt, weshalb keine direkte Aussage über die Güte der Messwerte möglich ist. 3.7 Verwandte Arbeiten Erste Ansätze zur Regelung einer extrakorporalen Zirkulation wurden in [62, 118] vorgestellt. Dieses Projekt verfügte jedoch weder über eine patientenorientierte Regelung noch wurde die Betriebssicherheit des Systems adressiert. Im Bereich der Dialyse sind verschiedene Arbeiten zur Sicherheit publiziert [144, 154], die sich aufgrund der unterschiedlichen Problemstellung nicht direkt übertragen lassen. Erste Ansätze für die Regelung sicherheitskritischer medizinischer Systeme am Beispiel der patientengesteuerte Analgesie wurden schon mit einem modellbasierten Sicherheitskonzept belegt, um eine Gefährdung des Patienten zu vermeiden [81]. Das vorgestellte Beispiel basiert auf einem Aktuator, dessen Potenzial zur Fehlfunktion sowohl messwertals auch modellbasiert eingedämmt wird. Die Kommunikation zwischen medizinischen Geräten und der Einfluss einer Störung auf dem Kommunikationskanal wurden in [80] adressiert. Durch zeitabhängige Betrachtung der vorliegenden Messwerte wurde die Fehlertoleranz für die Anwendung eines Luftröhren Laserskalpells verbessert. Im Fall von Netzwerkausfällen kann gewährleistet werden, einen sicheren Zustand zu erreichen, falls dieser existiert. Erste Arbeiten zur Automatisierung einer HLM bzw. ECLA ausgehend von einer Fuzzy-Regelung sind für das Lifebridge System publiziert [16, 115]. In diesem Zusammenhang wurde eine Schichtenarchitektur zur Fehlerbehandlung eingeführt [17] und eine Linuxbasierte Hardwareplattform zur Automatisierung vorgestellt [114]. Zu den einzelnen erarbeiteten Maßnahmen werden jeweils – soweit diese bekannt sind – verwandte Arbeiten direkt adressiert bzw. abgegrenzt. 43 4 Sicherheitskonzept Ein Ziel dieser Arbeit ist die Erarbeitung eines Sicherheitskonzeptes für die intensivmedizinische Anwendung der extrakorporalen Lungenunterstützung. Dazu wurden in einem mehrschrittigen Verfahren sowohl der existierende bzw. der angestrebte Systemaufbau analysiert als auch die zugrunde liegende menschliche Physiologie untersucht. Darauf aufbauend wurden Sicherheitsziele definiert und anschließend formale Methoden des Sicherheitsmanagements angewandt. Basierend auf den erzielten Erkenntnissen wurden gezielte Veränderungen am Systemaufbau eingeführt bzw. überwachende Modelle ausgearbeitet. Die durchgeführten Maßnahmen lehnen sich an die einschlägigen Normen DIN EN 61508 [10], welche die funktionale Sicherheit elektronischer Systeme generisch betrachtet, bzw. DIN EN 60601 [7], welche die Sicherheitsanforderungen an medizinische elektrische Geräte regelt, sowie das Medizinproduktegesetz (MPG) an. 4.1 Sicherheitsziele Ausgehend von den klinischen Erfahrungen des Projektpartners aus der Anästhesiologie in Bezug auf die ECLA-Therapie wurden Sicherheitsziele in Form von Anforderungen an das vorliegende ECLA-Systemaufbau formuliert [89, 90] [Lang(2009)]: 1. Die Oxygenierung erzielt einen arterialisierten Sauerstoffpartialdruck von mindestens 80 mmHg. 2. Die Decarboxylisierung hält den arterialisierten pH-Wert über einem Wert von 7,15 und verhindert Sprünge des arterialisierten Kohlenstoffdioxidpartialdrucks von mehr als 10 mmHg/min. 3. Die extrakorporale Blutflussrate beträgt mindestens 0,5 l/min. 4. Der Patient erleidet keinen Blutverlust durch das extrakorporale System. 5. Das Blut wird nicht durch Überhitzung über 41 °C oder zu starke Hämolyse geschädigt. 6. Es gelangen keine Fremdstoffe in den Kreislauf des Patienten. 7. Es gelangen keine Luftblasen größer als 4 µm14 in den Kreislauf des Patienten. 14 Der Durchmesser der kleinsten menschlichen Kapillargefäße beträgt 4 µm bis 8 µm [145]. Für kleinere Luftblasen besteht daher keine Gefahr einer Embolie. 45 4 Sicherheitskonzept 4.2 Projektspezifische Analysen des Systemaufbaus Die oben aufgeführten Normen [7, 10] fordern die Durchführung einer analytischen Untersuchung des medizinischen Systems im Hinblick auf Betriebssicherheit. Im Speziellen regelt die Norm DIN EN ISO 14971 [9] das Risikomanagement für Medizinprodukte bzw. definiert die Norm DIN EN 61078 [5] Techniken für die Analyse der Zuverlässigkeit technischer Systeme. Konkrete Methoden zur Analyse werden in den Normen DIN EN 60812 [4] Analysetechniken für die Funktionsfähigkeiten von Systemen basierend auf einer Fehlermöglichkeits- und -Einflussanalyse (FMEA) und in DIN 25424 [1] für die Fehlerbaumanalyse (FTA) bzw. in DIN EN 61025 [6] für die Fehlzustandsbaumanalyse vorgestellt. Zur weiteren Analyse wurde das System in logische Funktionseinheiten unterteilt und in einem strukturierten Modell abgebildet [Lang(2009)]. Abbildung 4.1 zeigt eine grafische Darstellung dieses Modells. Durch die Definition des Modells wurden die Randbedingungen der Betrachtung festgelegt. In der Granularität der Betrachtung wurde der Blut fördernde Teil des Systems bis auf Schlauchleitungen, Verbinder, die Blutpumpe und den Oxygenator hinunter aufgelöst. Als Sensoren wurden die Blutgasmessung, die Messung der arteriell-peripheren Sauerstoffsättigung und die Blutflussmessung in Form von geschlossenen Systemen berücksichtigt. Die Aktuatoren werden in dieser Modellierung von einem Regelungsalgorithmus mit Stellwerten belegt, wobei die Verbindung zwischen Gasmischer und Oxygenator analog zu den Blut führenden Schlauchsystemen modelliert wird. Als eingrenzender Rahmen des Modells wird die Energieversorgung aller Elemente und die Versorgung des Gasmischers mit Frischgas als initial vorhandene Elemente angenommen. Das erarbeitete Modell geht nicht auf physiologische Spezifika des Patienten ein. Die in Abschnitt 4.1 definierten Sicherheitsziele dienen als Grundlage für die systematische Betrachtung von möglichen Fehlerfällen, also Verletzungen der Sicherheitsziele. Auf diese Weise werden Ereignisse, die zu einer Verletzung der Sicherheitsziele führen, sowie deren Relation untereinander identifiziert. 4.2.1 Fehlermöglichkeits- und -Einflussanalyse Beruhend auf dem Modell des Systemaufbaus wurden für alle Systemkomponenten die erwarteten Funktionen definiert. Aus diesen Funktionsdefinitionen wurden mögliche Abweichungen von der erwarteten Funktion und die dazugehörigen Ursachen abgeleitet. In einer FMEA bzw. dem hier angewandten Fall der System-FMEA wurde der Systemaufbau Bottom-Up analysiert. Das mit den identifizierten Fehlerursachen verbundene Risiko wurden mithilfe einer Metrik bewertet. Die zugrunde liegenden Kriterien waren: • Auftretenswahrscheinlichkeit der Fehlerursache • Auswirkung des Fehlers • Diagnostizierbarkeit des Fehlers 46 Schlauch Verbinder Flusssensor Pumpe Drehzahlregelung Mikrocontroller Regelung Schlauch Verbinder CAN Kanüle Schlauch Schlauch Oxygenator Verbinder Schlauch Verbinder Gasmischer Begasung Mikrocontroller Blutsättigungsmessung Verbinder Verbinder Mikrocontroller CAN Kanüle Verbinder Verbinder Verbinder Schlauch Mikrocontroller Blutgasmessung Schlauch Abbildung 4.1: Modell des Systemaufbaus, auf dem die formalen Analysen durchgeführt wurden (Abbildung angelehnt an [SLW+ 10, Lang(2009)]) Verbinder CAN Pumpensteuerung Mikrocontroller Verbinder Bluttransport Gasaustausch Subsystem Datenverarbeitung Blutgasmessung Schlauch Datenfluss (CAN) venöses Blut arterielles Blut Gasgemisch Mess-/Steuersignal Legende: 4.2 Projektspezifische Analysen des Systemaufbaus 47 4 Sicherheitskonzept .. . pv O2 -Messung Blutgasmessung Kompo- Funknente tion .. . Art des Fehlers Messergebnisabweichung um mehr als 10 % Ausfall der Messung .. . Auswirkung Beeinflussung der Regelung .. . Fehlerursache o s d RPZ Sensorfehler Kalibrierungsfehler Sensorfehler Fehler in der RS-232Verbindung .. . 3 4 5 60 1 4 5 20 2 2 1 4 2 2 1 4 .. . .. . .. . .. . Tabelle 4.1: Ausschnitt aus der angefertigten System-FMEA Diese Kriterien wurden qualitativ in fünf Niveaus eingeteilt und mit 1 . . . 5 bewertet. Die Einstufung der identifizierten Fehlerursachen erfolgte in Kooperation mit dem medizinischen Projektpartner. Zur Bewertung des Risikos, welches mit einer möglichen Fehlerursache verbunden ist, dient die Risikoproportionalitätszahl (RPZ). Diese ist als das ungewichtete Produkt der drei zuvor vorgestellten Kriterien definiert. Damit hat die RPZ einen Wertebereich von 0 bis 125. Die RPZ kann im Rahmen der Qualitätssicherung als Kennzahl zur Priorisierung der möglichen Probleme dienen. Für Sicherheitsbetrachtungen können Schwellen definiert werden und so die Fehlerursachen in verschiedene Risikokategorien eingeteilt werden [164]. Bei dieser Form der Analyse werden Kombinationen von Ausfällen bzw. Fehlerursachen nicht berücksichtigt. Dies zeigt die Notwendigkeit weiterer Analysen. Zusätzlich steigt der Arbeitsumfang zur Erstellung einer FMEA mit der Größe des betrachteten Systems, weshalb diese häufig nur auf eingeschränkten Bereichen (den kritischen Bereichen eines Systems) durchgeführt wird [119]. Ein Beispiel aus der durchgeführten FMEA ist in Tabelle 4.1 dargestellt [Lang(2009),Jörgens(2010)]. Dabei werden die möglichen Fehler bei der Messung des pv O2 durch die BGA betrachtet. Für jede der möglichen Ursachen wird eine RPZ errechnet. Da ein vollständiger Ausfall der Messung durch das Ausbleiben der Messwerte gut zu diagnostizieren ist, wird dies als geringes Risiko identifiziert. Eine Messabweichung verursacht durch einen Sensorfehler wird jedoch als Risiko identifiziert, das im Sicherheitskonzept behandelt werden muss, da dieser Fehler nur schlecht diagnostiziert werden kann und zu einer Gefährdung des Patienten führen kann. Die vollständige FMEA ist im Anhang A.4 dargestellt. In der FMEA wurden insgesamt 165 Fehlerursachen betrachtet. Davon wurden gemäß der erstellten Klassifikation (siehe Tabelle A.1) 76 Fehlerursachen als kontrollierbar eingestuft; 44 Fehlerursachen mussten gesondert betrachtet werden und 45 Fehlerursachen wurden als zu behandelnde Risiken eingestuft. Ein vollständiges Histogramm ist im Anhang in Abbildung A.1 gegeben. 48 4.2 Projektspezifische Analysen des Systemaufbaus 4.2.2 Fehlerbaumanalyse Als zweite Methode der Analyse des Systemaufbaus wurde eine Fehlerbaumanalyse ausgehend von [6] durchgeführt. Die in dieser Arbeit genutzte Nomenklatur verwendet die in dieser Norm definierten Begriffen. Für rein softwarebasierte Systeme gibt es erste Bestrebungen, eine formale Fehlerbaumanalyse zu etablieren [163]. Die durchgeführte FTA beschränkt sich auf die Erstellung durch eine Expertengruppe. Formale Beweise der Vollständigkeit bzw. der Korrektheit wurden nicht erbracht. In der hier vorliegenden FTA-Variante werden die Ereignisse qualitativ behandelt, d. h. der Zusammenhang wird durch boolesche Relationen beschrieben. Die Eintretenswahrscheinlichkeiten und die dazu beitragenden Faktoren werden nicht betrachtet. Diese Faktoren wurden durch die FMEA abgedeckt. Die FTA fußt auf den für das System definierten Sicherheitszielen (siehe Abschnitt 4.1). Für jedes Sicherheitsziel wird ein eigener Fehlerzustandsbaum aufgestellt. Von der Negation eines jeweiligen Sicherheitsziels im Wurzelknoten ausgehend – dem Hauptereignis – wird untersucht, durch welche Ereignisse dieses Hauptereignis hervorgerufen werden kann. Diese Ereignisse werden untereinander bzw. mit dem Hauptereignis durch Gatter verbunden. Die in den Gattern angewandten Operationen beschränken sich in dieser Arbeit auf die UND- sowie die ODER-Verknüpfung. Ereignisse, die nicht weiter untersucht werden, bzw. nicht weiter entwickelt werden können, werden als Grundereignisse bezeichnet. Alle Ereignisse zwischen dem Hauptereignis und den Grundereignissen werden als Zwischenereignisse bezeichnet. Die Untersuchung der Haupt- und Zwischenereignisse wird so lange rekursiv wiederholt, bis sich nur noch Grundereignisse am Ende eines Pfades befinden. Die FTA ist somit eine Top-Down-Analysetechnik. Der vollständige Fehlerzustandsbaum ermöglicht die Identifizierung von singulären Punktausfallereignissen, d. h. Ereignissen, welche nur über ODER-Verknüpfungen mit dem Hauptereignis verbunden sind und somit als einzelnes Ereignis einen Systemausfall hervorrufen können. Zusätzlich lassen sich somit Ereignisse, die durch eine gemeinsame Ursache hervorgerufen werden können, identifizieren. Das Ziel der durchgeführten Maßnahmen ist es, singuläre Punktausfall-Ereignisse zu identifizieren und für das ECLA-System, durch Belegen dieser Ereignisse mit Sicherheitsmaßnahmen, Erstfehlersicherheit zu erarbeiten. Auf diese Weise kann sicher gestellt werden, dass ein einzelnes Ereignis nicht zum Ausfall des gesamten Systems führen kann. In Abbildung 4.2 ist ein Teil des Fehlerbaumes für das Sicherheitsziel „Die extrakorporale Blutflussrate beträgt mindestens 0,5 l/min“ dargestellt [Lang(2009), Jörgens(2010)]. Die Negation des Sicherheitsziels als Hauptereignis führt über mehrere disjunktiv verknüpfte Zwischenereignisse zu den Grundereignissen Abknicken der Entnahmekanüle, Ansaugen der Entnahmegefäßwand an die Kanüle und Thrombusbildung in der Kanüle bzw. der Blutpumpe. Auf diese Weise wurde für alle 7 Sicherheitsziele jeweils ein Fehlerbaum aufgestellt. Diese Fehlerbäume enthalten in Summe 73 Grundereignisse. Die Fehlerbaumanalyse für alle definierten Sicherheitsziele aus Abschnitt 4.1 befindet sich im Anhang A.5 bzw. A.6. 49 4 Sicherheitskonzept Extrakorporale Bluttflussrate fällt unter 0,5l/min Zu geringe Flusserzeugung ... Flusswiderstand beim Bluttransport zu hoch ... Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung ... Flusswiderstand in Kanüle zu hoch Flusswiderstand in Pumpsystem zu hoch Flusswiderstand in Pumpe zu hoch Abknicken Verklotten Verklotten Festsaugen Abbildung 4.2: Beispielhafter Ausschnitt aus der durchgeführten FTA (Abbildung angelehnt an [Jörgens(2010), Lang(2009)]) 50 5 Modellbasierte Sicherheitsmaßnahmen Ausgehend von den definierten Sicherheitszielen (siehe Abschnitt 4.1) bzw. den identifizierten möglichen Fehlerquellen wurden verschiedene Sicherheitsmaßnahmen etabliert. Allen Maßnahmen gemein ist, dass sie eine Gefährdung des Patienten ausgehend von einem einzelnen Fehler bzw. einem Ausfall im System verhindern. In diesem Kapitel werden die erarbeiteten Maßnahmen im Detail vorgestellt. Dabei wurden die Maßnahmen logisch in drei Bereiche unterteilt. Als erstes werden die erhobenen Messwerte auf Plausibilität überprüft, respektive durch Modellierung der Physiologie des Blutes verschiedene Sauerstoffmesswerte gegeneinander validiert. Den nächsten Bereich bildet die Überprüfung der an die Aktuatoren gerichteten Stellwerte. Zuletzt wird das Verhalten der Aktuatoren mit dem zu erwartenden Verhalten abgeglichen, um Fehlverhalten, aber auch Abnutzung der Komponenten frühzeitig detektieren zu können. Teile der in diesem Kapitel vorgestellten Arbeiten wurden bereits publiziert [KBW+ 11, KWA+ 09, SDKS10, SGA+ 11, SGB+ 11, SJA+ 10, SJW+ 10, SLW+ 10, SWW+ 09, WSW+ 10]. 5.1 Messwertvalidierung Der erste Block im Kanon der modellbasierten Sicherheitsmaßnahmen ist die Validierung erzeugter Messwerte. Die Möglichkeiten erstrecken sich von intrinsischen, physikalisch oder physiologisch motivierten Überprüfungen bis hin zu komplexeren Modellen, die verschiedene Sensoren zueinander in Relation setzen. 5.1.1 Plausibilitätsüberprüfung Für viele der im Systemaufbau anfallenden Messwerte lässt sich eine Überprüfung auf Basis direkter Randbedingungen durchführen. Beispielsweise muss die Körperkerntemperatur zwischen 20 ◦ C und 44 ◦ C liegen [84]. Physiologisch betrachtet kann zusätzlich von einem Messfehler ausgegangen werden, wenn sich die Körperkerntemperatur um mehr als 2 ◦ C/min ändert [95]. 5.1.2 Modellbasierte Diagnose Bei vielen der erhobenen Messgrößen ist eine solche Plausibilitätsüberprüfung nicht oder nur unzureichend möglich. Eine zentrale Messgröße im Fall der ECLA ist die Sauerstoffsättigung bzw. der Sauerstoffpartialdruck an verschiedenen Punkten des Systemaufbaus. 51 5 Modellbasierte Sicherheitsmaßnahmen linkes Herz Kopf / Hals / Arme czv,O2 obere Hohlvene δ SO2 cv,O2 untere Hohlvene rechtes Herz Organe Flusssensor extFlow CDI arterialisiert paO2 Lunge HZV SvO2 pvO2 CDI venös ca,O2 cv,O2 Oxygenator Abbildung 5.1: Die zur Validierung der Sauerstoffmessung erhobenen Messgrößen (Abbildung angelehnt an [SLW+ 10, Lang(2009)]) Die in Abschnitt 3.6 vorgestellte Regelung fußt maßgeblich auf diesen Messwerten. Sollten diese Messwerte fehlerbehaftet sein, ist dies nur schwer zu detektieren bzw. erst mit einem erheblichen zeitlichen Verzug, wenn die gewünschten Werte nicht in der peripheren Versorgung des Patienten erreicht werden. Dies war einer der zu behandelnden Fehler, die in der FMEA identifiziert wurden (siehe Kapitel 4.2.1). Daher wurde ein mathematisches Modell entwickelt, welches verschiedene Messgrößen mittels der sie verbindenden physikalischen bzw. physiologischen Gegebenheiten in Relation zueinander setzt [Lang(2009)]. Die Messung der Sauerstoffsättigungen und -partialdrücke im extrakorporalen Blutkreislauf durch den CDI 500 wird mittels einer Bilanzierung der Sauerstoffkonzentration im rechten Herz validiert. Ausgehend von den in Abschnitt 2.1.4 eingeführten Zusammenhängen für die physikalisch in Blut gelöste (Gleichung (2.7)) und chemisch an Hämoglobin gebundene (Gleichung (2.8)) Sauerstoffmenge lässt sich die Gesamtsauerstoffkonzentration cO2 an einem Messpunkt bestimmen. Für den Fall, dass keine Messung von Sauerstoffsättigung oder -partialdruck vorliegt, wird die Formel zur Berechnung der Sauerstoffsättigung nach Kelmann genutzt (vgl. Gleichung (2.9)) [79]. Abbildung 5.1 zeigt die ausgewerteten genutzten Messwerte und die daraus abgeleiteten Konzentrationen [Lang(2009)]. Für die veno-venöse ECLA wird aus der unteren Hohlvene (Vena cava inferior) auf Höhe des Diaphragma venöses Blut entnommen, durch den Oxygenator gefördert und nach erfolgtem Gasaustausch in die Halsvene (Vena jugularis externa) zurück gegeben. Der extrakorporale Kreislauf ist sowohl vor dem Oxygenator (venös) als auch dahinter (arteriell) mit einem Sensor des Online- Blutgasanalysators CDI 500 ausgestattet. Diese liefern unter anderem die benötigten Messwerte von Sauerstoffpartialdruck (pa O2 und pv O2 ), Kohlenstoffdioxidpartialdruck (pa CO2 und pv CO2 ), pH-Wert und Bluttemperatur. Zusätzlich ist im venösen Zweig des extrakorporalen Kreislaufs eine 52 5.1 Messwertvalidierung Küvette verbaut, welche die Sättigung (Sv O2 ) des Blutes sowie den Hämoglobingehalt des Blutes (Hb) misst und daraus den Hämatokritgehalt Hkt errechnet. Durch diese Messwerte lässt sich mithilfe der Gleichungen (2.7) und (2.8) die Sauerstoffkonzentration im venösen extrakorporalen Kreislauf (cv,O2 ) und somit in der unteren Hohlvene sowie mit den Gleichungen (2.7), (2.9) und (2.8) im arteriellen Teil des extrakorporalen Kreislaufs (ca,O2 ) errechnen. Die Sauerstoffkonzentration in der oberen Hohlvene ist unbekannt. Das Sauerstoffverbrauchsverhältnis wird im Fall der intensivmedizinischen Anwendung als annähernd konstant und daher als linear abhängig von der Konzentration in der unteren Hohlvene angenommen cv̄,O2 = δ · cv,O2 . Der Faktor δ wird zu Beginn eines jeden Tierversuches in einer 10 minütigen Kalibrationsphase ermittelt. Im extrakorporalen Kreislauf wird zusätzlich zum Blutgasanalysator ein Ultraschalldurchflussmessgerät (Transonic HT110) eingesetzt, welches den extrakorporalen Blutfluss misst (extFlow). Im Rahmen der allgemeinen Patientenüberwachung wird ein Herzzeitmonitor, basierend auf einem Swan-Ganz-Katheter (SGK), eingesetzt [160]. Dieser ermittelt unter anderem das Herzzeitvolumen (HZV) – die pro Minute durch das Herz ausgeworfene Menge Blut – und die gemischtvenös – am Katheter vorliegende – Sättigung (Sgv O2 ). Mithilfe der beiden Flussmesswerte lässt sich aus den zuvor ermittelten Sauerstoffkonzentrationen die zu erwartende zentralvenöse Sauerstoffkonzentration ermitteln zu: extFlow · ca,O2 + (HZV − extFlow) · δ · cv,O2 czv,O2 = . HZV Analog lässt sich aus der gemessenen gemischtvenösen Sauerstoffsättigung (Sgv O2 ) mithilfe der Formeln (2.7), (2.9) und (2.8) die gemischtvenöse Sauerstoffkonzentration cgv,O2 errechnen. Die beiden so ermittelten Sauerstoffkonzentrationen sollten – bis auf geringe Abweichungen – gleich sein. Folglich lässt sich die relative Abweichung definieren zu: ∆= |cgv,O2 − czv,O2 | . cgv,O2 Weitere Details zur algorithmischen Umsetzung sind in Anhang A.1 gegeben. [SLW+ 10, SL09] Fehlerbetrachtung Die vorgestellte Messwertdiagnose beruht auf einer Betrachtung der beiden Möglichkeiten (physikalisch und chemisch) Sauerstoff an Blut zu binden. Der Zusammenhang zwischen diesen beiden Bindungsarten wird durch die Sauerstoffbindungskurve beschrieben (vgl. Abbildung 2.6 bzw. Gleichung (2.9)). Durch die sigmoide Form der Sauerstoffbindungskurve begründet sich in Abhängigkeit vom jeweiligen Arbeitspunkt, dass ein kleiner Messfehler beim Partialdruck oder der Sättigung einen großen Fehler im jeweils anderen Wert nach sich ziehen kann. Aus diesem Grund wurde für die erhobenen Messwerte untersucht, wie groß der durch mögliche Messungenauigkeiten maximal entstehende Fehler sein kann. Dazu wurden die in Tabelle 5.1 aufgelisteten Messgenauigkeiten zugrunde gelegt. 53 5 Modellbasierte Sicherheitsmaßnahmen Messgröße pa O2 pv O2 Sv O2 pH Hb Hkt temp extFlow HZV temp Sgv O2 Messgerät CDI 500 CDI 500 CDI 500 CDI 500 CDI 500 CDI 500 CDI 500 HT110 Vigilance Vigilance Vigilance Genauigkeit ±8,4 mmHg ±3,1 mmHg ±2,20 % ±0,015 ±0,63 g/dl ±2 % ±10 % ±6 % ±0,3 ◦ C ±2 % Quelle Standardabweichung lt. Datenblatt [161] Standardabweichung lt. Datenblatt [161] Standardabweichung lt. Datenblatt [161] Standardabweichung lt. Datenblatt [161] Standardabweichung lt. Datenblatt [161] angenommener Wert basierend auf [14]15 keine Informationen verfügbar15 Datenblatt des Flusssensors [166] Reproduzierbarkeit lt. Datenblatt [46] Genauigkeit lt. Datenblatt [46] Reproduzierbarkeit lt. Datenblatt [46] , 16 Tabelle 5.1: Messgenauigkeiten der für die Sauerstoffmessung genutzten Messgrößen Zur Abschätzung des maximal auftretenden, aus Messungenauigkeiten resultierenden Fehlers wurde für jeden Messzeitpunkt einer Messreihe das optimale δ für das Volumenstromverhältnis zwischen Vena cava superior und Vena cava inferior errechnet. Mit diesem δ ergibt sich keine relative Abweichung (∆ = 0). Ausgehend von diesen Werten wurde für alle in Tabelle 5.1 aufgeführten Varianzen die Berechnung des Modells erneut durchgeführt und die maximal resultierende Abweichung ∆var zu jedem Zeitpunkt errechnet. Das minimale ∆var betrug 5,21 %, der Median 8,03 %, das 75 %-Quantil 9,24 %, das 95 %-Quantil 15,29 % und das Maximum 55,51 %. Abbildung 5.2 zeigt ein Histogramm der maximal resultierenden Abweichungen ∆var . Aufgrund dieser Auswertung wird ab einem ∆ > 15 % von einem potenziellen Fehlerfall ausgegangen. Evaluation Das vorgestellte Modell zur Validierung der Sauerstoffmessungen wurde während 12 Tierversuchen mit einer auswertbaren Gesamtdauer von 62 Stunden angewandt. Die Abbildungen 5.3 und 5.4 zeigen die ausgewerteten Daten von zwei exemplarischen Tierversuchen vom 16.02. und 10.02.2011. Die mithilfe der Messdaten des Blutgasanalysators (CDI 500) errechnete zentralvenöse Sauerstoffkonzentration czv,O2 ist grün und die durch die Messwerte des Herzzeitmonitors (Vigilance) errechnete gemischtvenöse Sauerstoffkonzentration cgv,O2 ist schwarz dargestellt. Der relative Fehler zwischen den beiden Sauerstoffkonzentrationen wird durch die blaue Linie veranschaulicht. Die rote Linie zeigt die maximal aus Messungenauigkeiten resultierenden Abweichungen ∆var . Die arbeitspunktabhängigen Auswirkungen der Messungenauigkeiten ist deutlich in den Daten des Tierversuches vom 10.02.2011 zu erkennen. Aufgrund der Sauerstoffkonzentrationsschwankungen zwischen 12:00 Uhr und 13:00 Uhr wird ein Bereich der Sauerstoffbindungskurve durchlaufen, der ∆var auf fast 30 % steigen Das Datenblatt enthält hierzu keine Informationen und der Gerätehersteller Terumo hat auf eine entsprechende Anfrage keine expliziten Werte bereitstellen können. 16 In [14] wird ausgewiesen, dass der Hkt analog zum Hb, optisch gemessen wird und ca. ein Faktor 3 zwischen Hb und Hkt liegen. Daher wurde ca. der dreifache Fehler des Hb angenommen. 15 54 5.1 Messwertvalidierung Verteilung der maximal durch Messungenauigkeit möglichen Fehler 50 45 40 Häufigkeit [%] 35 30 25 20 15 10 5 0 0 5 10 15 20 25 30 relativer Fehler [%] Abbildung 5.2: Histogramm der relativen aus Messungenauigkeiten resultierenden Fehler lässt. Der Sauerstoffpartialdruck nach dem Oxygenator pa O2 fällt in diesem Beispiel von 580 mmHg auf 21 mmHg. Die Abweichung ab ca. 13:30 geht auf einen Messfehler im CDI zurück. Der Vergleich, der zeitgleich gezogenen Blutgasanalyse, die mit einem unabhängigen Gerät (Radiometer ABL 700) manuell ausgewertet wurde, zeigt für die Sauerstoffsättigung eine Abweichung von 12 % auf. Diese Abweichung der CDI-Messwerte stellt einen realistischen Fehlerfall dar. Der relative Fehler zwischen den Sauerstoffkonzentrationsmessungen (blaue Linie) ist in Abbildung 5.5 in einem Histogramm dargestellt. Im Folgenden wird auf vier aufgetretene Fehlerfälle dezidiert eingegangen, um die Detektierbarkeit der vorgestellten Ereignisse zu erläutern. Abbildung 5.6 zeigt den Verlauf der errechneten Sauerstoffsättigungen und den daraus resultierenden relativen Fehler während eines Ausfalls des Online-Blutgasanalysators. Das Gerät war während des Tierversuches am 24.03.2011 gegen 13:47 Uhr ausgefallen und hatte sich anschließend selber neu gestartet. Der Sprung in der errechneten zentralvenösen Sättigung czv,O2 geht auf falsch ausgegebene Werte des CDI zurück. In Abbildung 5.7 ist der Messwertverlauf während der Ansaugung einer der beiden Entnahmekanülen während des Tierversuches am 10.03.2011 dargestellt. Durch die stark verminderte extrakorporale Unterstützung fällt die gemischtvenöse Sauerstoffkonzentration cgv,O2 ab. Da bedingt durch die Ansaugung sowohl die Messung des extrakorporalen Flusses (teilweise ist die Strömung am Messkopf nicht mehr laminar) als auch der Blutgase gestört wurde, weicht die errechnete zentralvenöse Sauerstoffsättigung czv,O2 nach oben ab und verursacht so einen relativen Fehler ∆ 50 %. Nachdem die Kanüle wieder freigesetzt wurde, erreichen die Werte wieder ein Normalniveau. Während des Tierversuches vom 04.08.2011 fiel der eingesetzte Herzzeitmonitor, mit 55 5 Modellbasierte Sicherheitsmaßnahmen Tierversuch 16.02.2011, Schwein (w), 48,5 kg −3 x 10 czvO2 relativer Fehler [%] Sauerstoffkonzentration [mol/l] 5.6 cgvO2 5.4 5.2 5 4.8 50 45 40 35 30 25 20 15 10 5 0 4.6 rel. Fehler Messtoleranzen 13:00 13:30 14:00 14:30 15:00 15:30 Uhrzeit Abbildung 5.3: Ausgewertete Messreihen des Tierversuches vom 16.02.2011 Tierversuch 10.02.2011, Schwein (w), 56 kg −3 x 10 6 5.5 czvO2 relativer Fehler [%] 4.5 4 3.5 3 50 45 40 35 30 25 20 15 10 5 0 2.5 rel. Fehler Messtoleranzen 12:00 13:00 14:00 15:00 16:00 Sauerstoffkonzentration [mol/l] 5 cgvO2 17:00 Uhrzeit Abbildung 5.4: Ausgewertete Messreihen des Tierversuches vom 10.02.2011 56 5.1 Messwertvalidierung Verteilung der Fehler 25 Häufigkeit [%] 20 15 10 5 0 0 10 20 30 40 50 relativer Fehler [%] Abbildung 5.5: Histogramm der errechneten relativen Fehler aus 62 Stunden bzw. 12 Tierversuchen −3 x 10 6 czvO2 5.5 cgvO2 5 4.5 4 50 45 40 35 30 25 20 15 10 5 0 13:35 rel. Fehler Messtoleranzen 13:40 13:45 13:50 13:55 14:00 Sauerstoffkonzentration [mol/l] relativer Fehler [%] Ausfall der online BGA (TV 24.03.2012) 14:05 Uhrzeit Abbildung 5.6: Signalverlauf beim Ausfall und Neustart des Terumo CDI 500 Blutgasanalysators 57 5 Modellbasierte Sicherheitsmaßnahmen Entnahmekanüle angesaugt (TV 10.03.2011) −3 x 10 6 c O 2 5 relativer Fehler [%] 4 3 50 45 40 35 30 25 20 15 10 5 0 rel. Fehler Messtoleranzen 12:00 12:05 12:10 Sauerstoffkonzentration [mol/l] zv cgvO2 12:15 Uhrzeit Abbildung 5.7: Signalverlauf bei der Ansaugung der Entnahmekanüle an die Gefäßwand der Anforderung den Pulmonaliskatheter zu wechseln, aus. Der Verlauf der resultierenden Mess- bzw. Modellwerte ist in Abbildung 5.8 dargestellt. Mithilfe des eingesetzten SGKs wurde während der Tierversuche der Druck im linken Vorhof (PCWP) intermittierend gemessen. Während dieser Messung wird ein Ballon am Ende des Katheters aufgeblasen und auf diese Weise die Pulmonalarterie, in der sich der Katheter befindet, verschlossen. Durch diesen Verschluss passiert während des Messzeitraumes kein Blut die Katheterspitze, sodass die gemessene Sauerstoffsättigung abnimmt. Diese resultierende Verfälschung der Messung der gemischtvenösen Sauerstoffkonzentration cgv,O2 ist exemplarisch in Abbildung 5.9 dargestellt. 5.2 Stellwertvalidierung Im vorhergehenden Abschnitt wurde die Analyse von Messwerten vorgestellt. In vergleichbarer Weise wurden die an die Aktuatoren gesendeten Stellwerte im System überwacht. Durch diese Maßnahmen wird verhindert, dass die Aktuatoren außerhalb ihrer Spezifikationen betrieben werden. Zusätzlich lassen sich bekannte Komplikationen der ECLA adressieren. Im gesamten System befinden sich nur zwei angesteuerte Aktuatoren: die Blutpumpe und der Gasmischer. Die resultierenden Stellgrößen werden im Folgenden dargestellt. 5.2.1 Extrakorporaler Blutfluss Durch die eingesetzte Blutpumpe (vgl. Abschnitt 3.5.3) wird ein extrakorporaler Blutfluss im System erzeugt. Dieser ist eine der notwendigen Bedingungen für eine ausreichende 58 5.2 Stellwertvalidierung Tausch Pulmonaliskatheter (TV 04.08.2011) −3 x 10 relativer Fehler [%] cgvO2 50 45 40 35 30 25 20 15 10 5 0 13:30 rel. Fehler Messtoleranzen 13:35 13:40 13:45 13:50 13:55 Sauerstoffkonzentration [mol/l] 5.5 5 4.5 czvO2 14:00 Uhrzeit Abbildung 5.8: Signalverlauf beim Tausch des Pulmonaliskatheters 3.8 3.6 3.4 3.2 3 2.8 2.6 czvO2 cgvO2 50 45 40 35 30 25 20 15 10 5 0 14:39 rel. Fehler Messtoleranzen 14:40 −3 x 10 14:41 14:42 Sauerstoffkonzentration [mol/l] relativer Fehler [%] Messung des ZVD (TV 01.08.2011) 14:43 Uhrzeit Abbildung 5.9: Signalverlauf während der Messung des Pulmonalarterienverschlussdruckes 59 5 Modellbasierte Sicherheitsmaßnahmen Gas Membran Blut Abbildung 5.10: Schematischer Aufbau eines Oxygenators – Blut umfließt eine gasdurchströmte Membran (Abbildung angelehnt an [Becker(2012), 173]) Unterstützung des Patienten durch die ECLA. Dabei stellt der extrakorporale Blutfluss einen Bypass zum Blutfluss in der Vena cava inferior dar (vgl. Abbildung 3.1). Der Blutfluss ist nach unten durch das Sicherheitsziel, immer einen minimalen Blutfluss von 0,5 l/min (Abschnitt 4.1) zu erzielen, begrenzt. Nach oben ist der Blutfluss aufgrund zwei zu vermeidender Ereignisse beschränkt. Zum einen soll verhindert werden, dass an der Entnahmekanüle durch Volumenmangel das umgebende Blutgefäß zusammenfällt und daher die Kanüle zusetzt (dieses Ereignis wird in Kapitel 5.3 behandelt werden). Zum anderen soll vermieden werden, dass der extrakorporal erzeugte Blutfluss größer als der Blutfluss in der Aorta descendens wird, da basierend auf der Eigenschaft des geschlossenen Blutkreislaufs dies zu einem Rückfluss innerhalb der Vena cava führen würde. Der Blutfluss innerhalb der Aorta descendens steht nicht als Messwert zur Verfügung. Daher werden Rückschlüsse aus dem gemessenen Herzzeitvolumen gezogen. Für den extrakorporalen Fluss wurde ein Maximum von 75 % des HZV festgesetzt [89] [Becker(2012)]. Dieser Rückfluss innerhalb der Vena cava (Rezirkulation) kann schon bei geringeren extrakorporalen Flüssen als der festgesetzten Schwelle auftreten, dann jedoch in einer geringen Ausprägung. Die Rezirkulation innerhalb des Patienten wird daher gesondert in Abschnitt 5.3.4 behandelt. 5.2.2 Gasvolumenstrom durch den Oxygenator Die zweite im Rahmen der Stellwertvalidierung adressierte Größe ist der Gasfluss durch den Oxygenator. Dieser wird durch den elektronisch ansteuerbaren Gasmischer eingestellt, wobei der Gasmischer nicht nur Stellwerte entgegen nimmt, sondern auch den resultierenden erzeugten Fluss misst [WWK+ 09] [173]. Im aktuellen Aufbau ist keine Sensorik vorgesehen, welche die resultierende Gaszusammensetzung analysiert. Daher wird im Folgenden nur der Gasfluss, nicht aber die Gaszusammensetzung betrachtet. Das erzeugte Gasgemisch strömt durch den Oxygenator und wird durch die Kunststoffmembran vom extrakorporal geförderten Blutfluss getrennt (siehe Abbildung 5.10). Konstruktionsbedingt muss der Druck auf der Blutseite der Membran größer sein als der Druck auf der Gasseite der Membran, da sonst das Gas blasenförmig in die Blutphase des Oxygenators übertreten und im Patienten Gasembolien verursachen könnte. Dies würde ein Sicherheitsziel (Abschnitt 4.1 – Es gelangen keine Luftblasen größer als 4 µm in den Kreislauf des Patienten.) verletzen und kann durch zugesetzte Blutgefäße zu unzureichendem Blutfluss (Ischämie) beim Patienten führen. Mögliche 60 5.2 Stellwertvalidierung Blut Gas Abbildung 5.11: Gas- und Blutfluss durch einen Medos Hilite 7000 (Abbildung entnommen aus [111]) Folge ist ein Infarkt von z. B. Herz oder Hirn [95]. Aufgrund dieser Motivation wurde die in Abschnitt 6.2 vorgestellte Erweiterung der Mikrocontrollerplattformen zur 4-kanaligen Druckmessung erarbeitet. In vielen am Markt verfügbaren Oxygenatormodellen wird der Blutstrom ganz oder in Teilen entgegengesetzt zum Gasstrom geführt (Gegenstromprinzip), um den Gasaustausch im Oxygenator zu verbessern [159]. Dies ist auch der Fall für die in dieser Arbeit eingesetzten Oxygenatoren HEXMO und Medos Hilite 7000. Abbildung 5.11 veranschaulicht die Volumenströme innerhalb des Oxygenators: Das eintretende Blut (dunkelrot) durchströmt zuerst die innere Kammer von oben nach unten und anschließend die äußere Kammer von unten nach oben. Der Gasstrom (grün) verläuft in der äußeren Kammer dem Blutstrom entgegengerichtet, von oben nach unten. Wie im vorhergehenden Abschnitt beschrieben, muss der Druck in der Gasphase – also innerhalb der Membran – immer kleiner sein als in der Blutphase. Für die Betrachtung sind der größte Gasdruck und der kleinste Blutdruck innerhalb des Oxygenators relevant. Gas- und Blutdruck nehmen durch Reibungsverluste kontinuierlich über ihren Weg durch den Oxygenator ab. Der größte Gasdruck liegt am Eingang der Gasphase des Oxygenators vor und der kleinste Blutdruck am Ausgang der Blutphase (in Abbildung 5.11 durch rotes Oval markiert). Damit lässt sich eine Randbedingung für den Gasfluss im Oxygenator formulieren: pGas,Einlass < pBlut,Auslass . (5.1) 61 5 Modellbasierte Sicherheitsmaßnahmen Blutpumpe Oxygenator Gasmischer Abbildung 5.12: Im Rahmen der Sicherheitsmaßnahmen erhobene Druckmessungen – Messpunkte blau gekennzeichnet (Teile der Abbildung entnommen aus [169]) Druckverhältnisse im Oxygenator Zur Überwachung bzw. Umsetzung der in Gleichung (5.1) definierten Randbedingung wurden die in Abschnitt 3.5.1 eingeführten Druckmesssensoren genutzt. Es wurden, wie in Abbildung 5.12 in blau dargestellt, drei Druckmesswerte im extrakorporalen Blutkreislauf sowie der Gasdruck vor dem Oxygenator aufgenommen. Die Messwerte umfassen: • Blutdruck an der Entnahmekanüle vor der Pumpe (pBlut,Entnahme ) • Blutdruck zwischen Pumpe und Oxygenator (pBlut,Einlass ) • Blutdruck am Blutauslass des Oxygenators (pBlut,Auslass ) • Gasdruck am Gaseinlass des Oxygenators (pGas,Einlass ) Der Gasdruck am Gasauslass des Oxygenators wird nicht erfasst, da dieser offen zur b 0 mmHg) gleichzusetzen ist, gegen den Umgebung und somit dem Umgebungsdruck ( = die Druckkanäle abgeglichen sind. Während der durchgeführten Tierversuche (vgl. Anhang A.9) wurden in Summe ca. 51,5 Stunden auswertbare Druckmesswerte erhoben. Der maximale Druck am Gaseinlass 62 5.2 Stellwertvalidierung 12 120 10 110 100 Druck [mmHg] Druck [mmHg] 8 6 4 90 80 70 60 50 2 40 30 0 20 −2 0 1 2 3 4 5 6 7 8 0.5 1 1.5 Volumenstrom [l/min] 2 2.5 3 3.5 4 4.5 Volumenstrom [l/min] (a) Gaseinlass des Oxygenators (b) Blutauslass des Oxygenators Abbildung 5.13: Vergleich von Druck-Volumenstrom-Diagrammen des Oxygenators betrug dabei: pGas,Einlass,max = 11,688 mmHg, (5.2) bei einem mittleren Druck von: p̄Gas,Einlass = 2,3664 mmHg. (5.3) Der minimale Blutdruck am Auslass der Oxygenators betrug: pBlut,Auslass,min = 13,7598 mmHg, (5.4) bei einem mittleren Druck von: p̄Blut,Auslass = 41,3436 mmHg. (5.5) Aus den aufgezeigten Extremwerten lässt sich ableiten, dass während der Tierversuche zu keinem Zeitpunkt Gleichung (5.1) verletzt wurde [Becker(2012)]. Abbildung 5.13 zeigt die für einen Volumenstrom erzeugten mittleren Flüsse bzw. deren Standardabweichungen. Es ist jeweils ein Druckanstieg mit steigendem Volumenstrom zu erkennen. Da Blutflüsse von mehr als 4 l/min bzw. Gasflüssen von mehr als 5 l/min während der Versuche selten auftraten, weichen die Mittelwerte bei diesen Volumenströmen von der erwarteten Entwicklung ab. Allgemein lässt sich festhalten, dass Gleichung (5.1) nur verletzt werden kann, wenn sehr geringe Blutflüsse bei gleichzeitig großen Gasflüssen eingestellt werden. Abbildung 5.14 stellt den relevanten Bereich der Gas- und Blutdrücke detaillierter dar. Der kleinste ausgewertete Blutfluss beträgt 0,5 l/min, bedingt durch das entsprechende Sicherheitsziel aus Abschnitt 4.1. Während der durchgeführten Tierversuche existierte immer eine ausreichende Druckdifferenz zwischen pGas,Einlass und pBlut,Auslass . Sollten geringere Blutflüsse 63 5 Modellbasierte Sicherheitsmaßnahmen 50 Druck [mmHg] 40 Gasdruck vor Oxy Gasdruck Prognose Worst Case Gasdruck Prognose Mittelwert Blutdruck nach Oxy 30 20 10 0 0 1 2 3 4 5 6 Volumenstrom [l/min] Abbildung 5.14: Vergleich der Druck-Volumenstrom-Diagramme von Blut- zu Gasphase im relevanten Bereich auftreten, z. B. bei der Anwendung einer ECLA für Neugeborene, ist grundsätzlich eine Verletzung der gesetzten Randbedingung möglich. Für die Gasphase des Oxygenators lässt sich festhalten, dass der maßgebliche Anteil des Druckabfalls über den Oxygenator innerhalb der Fasern verursacht wird. In den Fasern kann die Strömung als laminar angenommen werden [28, 78]. Da die in der Gasphase auftretenden Druckdifferenzen und Flussgeschwindigkeiten in technischen Dimensionen sehr gering sind, kann unter der Annahme eines idealen Gases der Gasvolumenstrom QGas durch die Fasern mithilfe des Gesetzes von Hagen-Poiseuille beschrieben werden: QGas = π · r4 · ∆p . 8·η·l (5.6) Dabei ist r der Innenradius der einzelnen Fasern, ∆p die Druckdifferenz über die Fasern, η die dynamische Viskosität des durchströmenden Gases und l die Gesamtlänge aller gastransportierenden Fasern. Der absolute auf die Gasphase wirkende Druck ist so gering, dass die druckbedingte Änderung der Gasviskosität η vernachlässigt wird. Die geometrischen Eigenschaften des Oxygenators ändern sich nicht während einer ECLA. Daher kann Gleichung (5.6) vereinfacht werden zu QGas = const. ∆pGas Der Gasauslass des Oxygenators ist offen zur Umgebung. Bei Abgleich der Gasdrücke gegen den Umgebungsdruck gilt ∆pGas = pGas,Einlass . Somit kann der Gasvolumenstrom 64 5.2 Stellwertvalidierung durch einen Oxygenator als linear abhängig vom Gaseingangsdruck angenommen werden QGas ∼ pGas,Einlass . (5.7) Basierend auf Gleichung (5.7) ist eine Prognose möglich, bei welchen Gasflüssen der minimal aufgetretene Blutdruck von ca. 13,8 mmHg am Auslass des Oxygenators erreicht würde. Da Oxygenatoren trotz industrieller Fertigung nicht als perfekt gleich gefertigt angenommen werden können, wurde der Proportionalitätsfaktor für jeden Tierversuch gesondert bestimmt. Für die hier vorgestellte Sicherheitsbetrachtung wurde der größte Proportionalitätsfaktor ausgewählt. Ein Druck am Gaseinlass des Oxygenators von 13,8 mmHg wird demnach bei ca. 7,3 l/min Gasfluss erreicht. Bei einem über alle Tierversuche gemittelten Proportionalitätsfaktor ergibt sich ein Druck von 13,8 mmHg bei 19,3 l/min. Die prognostizierten Verläufe sind in Abbildung 5.14 dargestellt. Die Prognose, welche den größten Proportionalitätsfaktor (Worst Case) zu Grunde legt, ist in cyan eingezeichnet. Die in magenta dargestellte Prognose nutzt das arithmetische Mittel des Proportionalitätsfaktors. Flussverhältnisse im Oxygenator In der aktuell klinisch angewandten Form der ECLA steht meist der in dieser Arbeit gezeigte Umfang an Druckmesswerten nicht zur Verfügung, weshalb zusätzlich die Flussverhältnisse betrachtet werden. Das Verhältnis von Gas- zu Blutfluss ist z. B. für den eingesetzten Oxygenator Medos Hilite 7000 in der Gebrauchsanweisung auf 2 Teile Gasfluss zu 1 Teil Blutfluss oder mehr beschränkt [109]. Aus der Betrachtung der zuvor ausgewerteten Druck- und Flussmesswerte lässt sich für die in Gleichung (5.1) aufgestellte Randbedingung festhalten, dass diese auch noch für höhere Flussverhältnisse eingehalten werden kann. Da die Blutphase des Oxygenators in direktem Kontakt zum Patienten steht, ist dieser Druck im Gegensatz zur Gasphase abhängig von weiteren physiologischen Randbedingungen des Patienten wie z. B. dem peripheren Widerstand des kardiovaskulären Systems. Hinzu kommt, dass Blut als nichtnewtonsche Flüssigkeit eine Viskosität besitzt, die von der Flussgeschwindigkeit abhängt. Daher ist es nicht möglich, analog zum Gasdruck eine direkte Aussage über den Blutdruck am Ausgang des Oxygenators zu treffen, die von den jeweiligen Flüssen ausgeht. Die Auswertung der in den Tierversuchen aufgetretenen minimalen Blutdrücken am Blutauslass des Oxygenators (pBlut,Auslass ) ergab im Vergleich zu den aus dem Modell errechneten Gasdrücken ein maximales Verhältnis von 5 Teilen Gasfluss zu 1 Teil Blutfluss. Diese Schranke verwendet die Worst-Case-Abschätzung. Für das Modell des gemittelten Proportionalitätsfaktors ergibt sich ein Verhältnis von maximal 15 Teilen Gasfluss zu 1 Teil Blutfluss. In Abhängigkeit der aufgezeigten Rahmenbedingungen kann der Regelung ermöglicht werden, ein höheres Verhältnis von Gas- zu Blutfluss als 2 : 1 anzusteuern. Durch direkte Messung der betreffenden Drücke lässt sich die benötigte Sicherheitstoleranz verringern. 65 5 Modellbasierte Sicherheitsmaßnahmen 5.3 Aktuatordiagnose Nach der aufgezeigten Mess- und Stellwertüberwachung wird als letzter Teil der modellbasierten Sicherheitsmaßnahmen das Verhalten der Aktuatoren im System adressiert. Die berücksichtigten Aktuatoren sind die Blutpumpe und der Gasmischer bzw. der durch den Gasmischer angesteuerte Oxygenator. 5.3.1 Modellierung der Gasdiffusion durch den Oxygenator Der Oxygenator ist das zentrale Element einer extrakorporalen Lungenunterstützung. Sowohl der Ausfall des Oxygenators als auch der Leisungsabfall des Oxygenators über die Betriebszeit führen zu einer direkten Bedrohung des Patienten. Verschiedene konstruktive Maßnahmen haben zu einer Verbesserung der Anwendbarkeit der ECLA geführt [90, 122, 146]. Dennoch sind Eigenschaften wie die Prädizierbarkeit des Austauschzeitpunktes des Oxygenators noch nicht im gewünschten Umfang erreicht. Um vorhersagen zu können, wie lange ein Oxygenator noch genutzt werden kann, müssen der Gastransferbedarf des Patienten und die Gastransferleistung des Oxygenators abgeschätzt werden. Letztere nimmt während einer ECLA-Anwendung – z. B. durch Ablagerungen von Proteinen auf der Membran – kontinuierlich ab [77, 113]. Aufgrund dieser Motivation wurde ein Modell entwickelt, das den Leistungsabfall eines Oxygenators ausgehend von der Fähigkeit, Sauerstoff durch seine Membranen zu transferieren, quantisiert. In der Literatur existieren verschiedene Modelle, die den Gastransfer als explizites numerisches Modell wiedergeben [52, 69, 172]. Diese Modelle haben jedoch meist den Nachteil, dass sie sehr rechenintensiv sind und sehr viele Informationen über die Geometrie des Oxygenators als Eingabeparameter benötigen. Diese numerischen Modelle wurden zur Optimierung der Oxygenatorgeometrie bzw. -struktur entwickelt, jedoch nicht im Hinblick darauf, diese zur Online-Regelung bzw. Diagnose zu nutzen. Ausgehend von einem bekannten Modell des Gastransfers von Sauerstoff und Kohlenstoffdioxid in Blut [63] wurde ein 3-Kompartiment-Modell entwickelt, welches den Übergang aus der Gas- in die Blutphase in zwei Schritten modelliert [SJW+ 10,SJA+ 10]. Unter den Annahmen, dass die Volumenströme Q innerhalb eines Kompartiments gleichbleibend sind und die Stoffmengenkonzentration c innerhalb eines Kompartiments konstant ist, lässt sich die Stoffmengenänderung dc eines Stoffes i in Volumen V β aus Kompartiment dt α nach Kompartiment β beschreiben als: Vβ · dci,β = Qβ · (ci,β,in − ci,β ) − Di · (pi,α − pi,β ) . dt (5.8) Hierbei ist Qβ der Volumenstrom im Kompartiment β, ci,β die jeweilige Stoffmengenkonzentration des Stoffes i im Kompartiment β, Di der Diffusionskoeffizient des Stoffes i und pi,α bzw. pi,β der Partialdruck des Stoffes i im Kompartiment α respektive β. Eine der Randbedingungen von Gleichung (5.8) ist die homogene Durchmischung innerhalb eines Kompartiments. Um dieser Annahme gerecht zu werden, ist es notwendig, mehrere Stufen des Gasübergangs innerhalb des Oxygenators zu modellieren. In Anlehnung an [63] 66 5.3 Aktuatordiagnose Qg cO ,g Gas pO ,g cO ,g Vg cO ,g,in 2 2 DO2 Qb,Pl cO ,Pl,in Plasma Qb,Hb cO ,Hb,in Hb pO ,b cO ,Pl 2 2 2 2 Qg 2 2 Vb,Pl Qb,Pl cO ,Pl 2 cO ,Hb 2 BO2 SO2 Vb,Hb Qb,Hb cO ,Hb 2 Abbildung 5.15: Schematischer Aufbau des 3-Kompartiment-Modells des Sauerstofftransfers (Abbildung angelehnt an [SJW+ 10, Jörgens(2010)]) wird eine vierstufige Modellierung vorgenommen. Das resultierende Modell wird in vier Instanzen hintereinander geschaltet. Abbildung 5.15 veranschaulicht die Modellierung der Sauerstoffdiffusion. Im ersten Schritt geht, aus dem im Gegenstromprinzip am Blut vorbei geführten Gaskompartiment, Sauerstoff über die Membran ins Plasma des Blutes, also in eine rein physikalische Lösung, über. Im zweiten Schritt bindet sich der Sauerstoff chemisch an das Hämoglobin des Blutes. Dazu wurde analog zum Diffusionskoeffizienten für Sauerstoff durch die Membran DO2 ein Bindungskoeffizient BO2 etabliert. Mithilfe von Gleichung (2.9) wird die, einem Sauerstoffpartialdruck pO2 entsprechende, Sättigung SO2,virt errechnet. Analog zu Gleichung (5.8) ist die Sättigungsdifferenz die treibende Kraft. Beim Stofftransfer von Kohlenstoffdioxid muss zusätzlich zur physikalischen Lösung und der Bindung an Hämoglobin als Karbaminoverbindung (Karb) die chemische Umwandlung über Kohlensäure zu Bikarbonat (HCO− 3 ) berücksichtigt werden. Diese Prozesse sind in der Fachliteratur hinlänglich beschrieben [63, 67, 68, 73]. Der folgende Satz Gleichungen beschreibt den Transfer von Sauerstoff zwischen den Kompartimenten. Zur Konsistenz mit den in der Literatur angegebenen Dimensionen für den Diffusionskoeffizienten muss der errechnete Stofftransfer noch mit dem molaren Volumen Vm verrechnet werden. dnO2 ,physikalisch (pO2,g − pO2,b ) =DO2 · dt Vm dnO2 ,chemisch =BO2 · (SO2,virt (pO2,b ) − SO2 (nO2 )) dt Das vorgestellte Modell wurde gegen 92,5 Stunden Tierversuchsdaten evaluiert. Dabei wurde der DO2 zu Beginn einer jeden Messreihe empirisch ermittelt. Im weiteren Verlauf der Tierversuchsdaten wurde basierend auf dem ermittelten DO2 der zu erwartende Sauerstoffpartialdruck errechnet. Abbildung 5.16 zeigt den zeitlichen Verlauf einer dieser Messreihen. Es ist eine sehr gute Korrelation der simulierten Werte zu den Messwerten, auch bei großen Änderungen der Eingangsgrößen zu erkennen. 67 5 Modellbasierte Sicherheitsmaßnahmen 500 pO2 [mmHg] 400 300 200 100 0 0 Simulation Messwert 0,5 1 Zeit [h] Abbildung 5.16: Vergleich der Simulation mit Messwerten bei konstantem DO2 (Abbildung entnommen aus [SJW+ 10]) Der mittlere Fehler der Simulation betrug 14,4 mmHg bei einer Standardabweichung von 32,3 mmHg. Daraus resultiert ein relativer Fehler von 7,2 %. In Abbildung 5.16 ist eine größere und vor allem auch stationäre Abweichung der Simulationsergebnisse von den realen Messwerten bei arteriellen Sauerstoffpartialdrücken pO2 < 60 mmHg zu erkennen. Eine der Fehlerursachen ist die sigmoide Form der Sauerstoffbindungskurve (vgl. Kapitel 2.1.3), die in diesem Bereich besonders steil ist sowie die Fortpflanzung von Messfehlern durch diese Nichtlinearitäten. Kleine Messfehler für den Sauerstoffpartialdruck pO2 führen hier zu großen Abweichungen der resultierenden Sauerstoffsättigung SO2 . Diese arteriellen Sauerstoffpartialdrücke stehen jedoch in direktem Widerspruch zum ersten Sicherheitsziel aus Abschnitt 4.1, welches besagt, dass immer pO2 > 80 mmHg gilt. Werden nur Messwerte betrachtet, die dieses Kriterium erfüllen, reduziert sich der relative Fehler auf unter 5 % [SJA+ 10]. Das vorgestellte Modell wird genutzt, um den Diffusionskoeffizienten der Oxygenatormembran DO2 als veränderliche Größe dem erarbeiteten Modell nachzuführen. Diese Vorgehensweise subsumiert alle im System vorhandenen Störgrößen in diesem Messwert. Eine Auswertung der DO2 für ca. 3 Stunden Tierversuchsdaten ist in Abbildung 5.17 zu sehen. Der Verlauf dieser Messung zeigt die abnehmende Diffusionskapazität der Oxygenatormembran. Ein störgrößenbedingtes Rauschen ist in der Messung zu erkennen; dies wird jedoch als vernachlässigbar angenommen. Zur Unterdrückung hochfrequenter Störeinflüsse ist die Änderungsrate des nachgeführten Diffusionskoeffizienten beschränkt. [SJW+ 10] [Jörgens(2010)] Diese Messungen wurden nur für Medos Hilite 7000 Oxygenatoren mit PP-Membranfasern durchgeführt. Bei PMP-Membranfasern ist von einem vergleichbaren Verhalten, jedoch mit einem langsameren Leistungsabfall auszugehen. Dies müsste gesondert unter- 68 5.3 Aktuatordiagnose 4 x 10 -7 DO2 [m3/(s Pa)] 3 2 1 0 0 0,5 1 1,5 Zeit [h] 2 2,5 Abbildung 5.17: Verlauf des errechneten Diffusionskoeffizienten DO2 während einer Messreihe (Abbildung entnommen aus [SJW+ 10]) sucht werden, um ein Modell zu parametrieren, das für eine Prognose des Leistungsabfalls des Oxygenators herangezogen werden kann. Sollte es möglich sein, das Modell zu verfeinern, ist basierend auf dem nachgeführten Diffusionskoeffizienten eine Prognose möglich, wie lange der Oxygenator mit der aktuell benötigten Stoffmengentransferrate noch genutzt werden kann. 5.3.2 Ansaugen der Entnahmekanüle Bei der extrakorporalen Lungenunterstützung kann es aufgrund von intravasalem Volumenmangel (Hypovolämie) oder Verlagerung der Entnahmekanüle zu einem Ansaugen dieser Kanüle kommen. Der dem Organismus entnommene Blutvolumenstrom ist dabei so groß, dass das Gefäß, aus dem das Blut entnommen wird, kollabiert und dabei einen Teil der Einlässe der Entnahmekanüle abdeckt. Das führt wiederum zur Steigerung des Volumenstroms durch die verbleibenden Einlässe. Im schlimmsten Fall sind alle Einlässe nach kurzer Zeit abgedeckt. Da die Blutpumpe weiterhin versucht, den extrakorporalen Fluss aufrecht zu erhalten, kann sich das Gefäß ohne externen Eingriff nicht wieder von der Kanüle lösen. Dieses Szenario ist eine der möglichen Komplikationen während einer ECLA, die es zu verhindern gilt, und wurde während der FTA identifiziert (siehe Abschnitt 4.2.2) [60]. Da der Volumenverlust, der zur Hypovolämie führt, in der Regel über einen längeren Zeitraum entsteht, können mitunter erste Anzeichen eines Volumenmangels im Vorfeld 69 3 Blutfluss [l/min] 2.5 2 0 −50 Druck Entnahmekanüle [mmHg] 5 Modellbasierte Sicherheitsmaßnahmen −100 0 −200 −150 −100 Zeit [s] −50 0 Abbildung 5.18: Blutfluss und Druck an der Entnahmekanüle während des Ansaugens der Entnahmegefäßwand erkannt werden. Um das Ansaugen der Entnahmekanüle zu vermeiden, kann entweder Volumen – z. B. in Form von Kochsalzlösung oder Blutkonserven – gegeben, der extrakorporale Blutfluss verringert oder die Lage von sowohl der Entnahmekanüle als auch dem Patienten angepasst werden. Indikatoren für eine sich anbahnende Ansaugung der Entnahmekanüle sind erhöhte Hämolyseindikatoren (z. B. erhöhter PlasmaHB oder LDH) bzw. ein Schlagen der Entnahmekanüle. Dieses Schlagen ist durch die Pulsatilität des Herzens zu erklären. Der extrakorporal geförderte Volumenstrom ist im Normalfall kontinuierlich; das Herz fördert jedoch pulsatil. Das führt im Fall der veno-venösen ECLA dazu, dass das Entnahmegefäß bei jedem Herzschlag zu kollabieren beginnt, da das Herz dem venösen System des systemischen Blutkreislaufs Volumen entnimmt. Der Blutfluss durch den extrakorporalen Kreislauf und der Druck an der Entnahmekanüle ist für den Fall des Ansaugens der Entnahmekanüle in Abbildung 5.18 dargestellt. Die Messung des Blutflusses zeigt mehrere Sekunden vor dem Ansaugen des Gefäßes an die Kanüle (t = 0) eine deutliche Pulsatilität [Gathmann(2011)]. Zusätzlich ist zu erkennen, wie der schon negative Entnahmedruck noch weiter abfällt. Im dargestellten Fall erreicht der Entnahmedruck das untere Ende des Messbereichs des Drucksensors, weshalb die dargestellten Druckmesswerte beschränkt sind. In Abbildung 5.18 ist zur besseren Anschaulichkeit der mit 0,1 Hz tiefpassgefilterte Blutflussmesswert dargestellt. Basierend auf der Pulsatilität im Blutflusssignal wurde ein Modell entwickelt, um Volumenmangel im Allgemeinen und das Ansaugen der Entnahmekanüle frühzeitig zu detektieren. Dazu wurde das Blutflusssignal im Frequenzbereich betrachtet. Eine spektrale 70 5.3 Aktuatordiagnose 200 100 0 Zeit [s] −100 −200 −300 −400 −500 −600 −700 −800 0.5 1 1.5 2 2.5 3 Frequenz [Hz] 3.5 4 4.5 Abbildung 5.19: Spektrogramm des Blutflussmesssignals Analyse des Blutflusssignals zu obigem Beispiel ist in Abbildung 5.19 gegeben. Neben einem Gleichanteil des Signals ist eine Erhöhung der Energie im Frequenzspektrum bei ca. 1,17 Hz bzw. den höheren Moden dieser Frequenz zu erkennen. Dies geht auf die Herzfrequenz des Tieres von ca. 70 Herzschlägen/Minute zurück. Mehr als eine Minute vor dem Ansaugen der Gefäßwand an die Kanüle ist zusätzlich eine starke Zunahme der spektralen Energie in einem sehr weiten Frequenzbereich zu erkennen. Dies korreliert direkt mit den Beobachtungen aus Abbildung 5.18. Dass die Steigerung der Energie nicht nur bei der aktuellen Herzfrequenz bzw. ihren Vielfachen zu erkennen ist, lässt sich durch das schwingungsdynamische Verhalten des Gesamtaufbaus erklären. Die Anregung führt zu einer Steigerung der spektralen Leistungsdichte im gesamten niedrigen Frequenzbereich. Diese Eigenschaft wurde genutzt, um ein Konfidenzmaß zu etablieren, welches ein Ansaugen der Kanüle, aber auch einen allgemeinen Volumenmangel prädizierbar macht. Um der im Spektrum vorhandenen Energie im Bereich der Herzfrequenz bzw. ihrer Vielfachen Rechnung zu tragen, wurden diese Bereiche jeweils bei der Betrachtung ausgeschlossen. Die Energie in den übrigen spektralen Bereichen wurde aufsummiert. Zusätzlich wurde der Entnahmedruck mit in die Betrachtung einbezogen. Liegt ein positiver Entnahmedruck vor, kann die Gefäßwand nicht an die Kanüle angesaugt werden. Je geringer der Druck an der Entnahmekanüle ist, desto höher ist die Wahrscheinlichkeit, dass die Gefäßwand angesaugt werden kann. Daher fließt der negative Entnahmedruck in das Konfidenzmaß ein. Im Anhang in Abschnitt A.7 bzw. in Abbildung A.3 ist der Algorithmus, der zum Konfidenzmaß führt im Detail dargestellt. In Abbildung 5.20 ist der ungefilterte Blutflussmesswert zusammen mit dem errechneten 71 5 Modellbasierte Sicherheitsmaßnahmen 4 3.5 Konfidenzmaß Blutfluss [l/min] 3 2.5 2 Limit 0 −200 −150 −100 Zeit [s] −50 0 Abbildung 5.20: Blutfluss und etabliertes Konfidenzmaß während des Ansaugens an die Entnahmegefäßwand Konfidenzmaß abgebildet. Im Blutfluss sind ca. 90 Sekunden vor dem Abfall des Blutflusses erste Oszillationen zu erkennen [SGA+ 11]. Das Konfidenzmaß überschreitet 87 Sekunden vor Ansaugen der Kanüle den gesetzten Schwellenwert. Durch das etablierte Konfidenzmaß konnten alle Fälle des Kanüleansaugens frühzeitig erkannt werden. Zusätzlich hat sich gezeigt, dass eine dauerhafte leichte Erhöhung als Indikator für Hypovolämie herangezogen werden kann. Versuche, das Ansaugen der Entnahmekanüle forciert nachzustellen, haben sich als erfolglos erwiesen, da der Blutfluss entweder in dem Maße erhöht wurde, dass die Kanüle sofort angesaugt wurde oder sich auch nach längerer Zeit kein Ansaugen der Kanüle eingestellt hat. Zusätzlich müssen bei normovolämen Bedingungen (ausreichend Volumen im Kreislauf) zum Ansaugen der Kanüle an die Gefäßwand Volumenströme erzeugt werden, welche die in Abschnitt 5.2.1 vorgestellten Maßnahmen zur Überwachung des extrakorporalen Blutflusses in Relation zum HZV verletzen. Es steht aus, dieses Modell mit einer größeren Anzahl von Datensätzen zu evaluieren. Dazu müsste ein realistisches Modell für das Ansaugen der Entnahmekanüle erarbeitet werden oder ausgehend von Langzeitdatenerhebungen von ECLA die benötigten Daten gewonnen werden. Der Algorithmus wurde mit Daten von 5 Vorfällen evaluiert [Gathmann(2011)]. Das vorgestellte Verfahren gibt ein Konfidenzmaß an, auf dessen Basis Warnungen bzw. Alarme ausgelöst werden. Aufgrund der noch ausstehenden weiterreichenden Validierung werden keine weiteren Maßnahmen implementiert. Im Falle einer Kooperation zwischen Sicherheitskonzept und Regelung wäre eine Senkung des extrakorporalen Blutflusses 72 5.3 Aktuatordiagnose möglich. Darüber hinaus wäre die Gabe von Kochsalzlösung möglich, die z. B. durch ein elektronisch ansteuerbares Ventil direkt aus dem Sicherheitsmodell heraus angestoßen werden könnte, wodurch der Volumenmangel des Patienten verringert würde. 5.3.3 Modell der Blutpumpe Als weitere Komponente des ECLA-Setups wurde ein Modell für die Blutpumpe erstellt. Dabei wurde zunächst ein Modell für den Zusammenhang zwischen der Drehzahl ω des Pumpenmotors sowie der resultierenden Druckdifferenz ∆p bzw. Volumenstrom Q erarbeitet. Dieses Modell wurde für die genutzte Pumpe (Medos DP2) mit Messwerten einer In-vitro-Messreihe validiert [Gathmann(2011)]. Dazu wurde das Kennfeld der Pumpe mit einer Wasser-Glycerin-Lösung mit einer dynamischen Viskosität von η = 3,6 mPa bei einer Temperatur von 37 ◦ C aufgenommen (vgl. Abbildung 6.3). Diese Parameter entsprechen in etwa denen des menschlichen Blutes [22]. Mithilfe der MATLAB Curve Fitting Toolbox wurde zunächst die Druckdifferenz als allgemeines Polynom zweiten Grades der Form f (x, y) = c00 + c01 · x + c10 · y + c11 · x · y + c02 · x2 + c20 · y 2 genähert. Dabei zeigte sich, dass der Volumenstrom und die Drehzahl keinen gemischten Einfluss auf die resultierende Druckdifferenz haben; der Koeffizient c11 war annähernd Null. Die Drehzahl zeigte nur quadratischen Einfluss auf die Druckdifferenz. In dieser Näherung war der Koeffizient nullter Ordnung c00 ungleich Null. Ein Betrag größer Null lässt sich durch Messfehler bzw. Null-Abgleich-Abweichungen der Drucksensoren erklären. Bei ausgeschaltetem Motor (ω = 0) und keinem Volumenstrom (Q = 0) kann nach physikalischen Gesichtspunkten keine Druckdifferenz auftreten. Daher wird die durch die Blutpumpe erzeugte Druckdifferenz ∆p in Abhängigkeit des Volumenstromes Q und der Drehzahl ω modelliert zu: ∆p(Q, ω) = α1 · Q + α2 · Q2 + α3 · ω 2 . (5.9) Das Pumpenkennfeld ausgehend von Gleichung (5.9) und der beschriebenen Parametrierung ist in Abbildung 5.21 dargestellt. Die Linien sind die mithilfe des Modells errechneten Druckdifferenzen, die Kreise stellen jeweils einen Messpunkt dar. Das vorgestellte Modell wurde mit einer Wasser-Glycerin-Lösung parametriert. In der realen Anwendung hingegen kommt Blut zum Einsatz, welches eine scherratenabhängige Viskosität aufweist. Die durch die Pumpe bei der Vermessung erzeugte Strömung kann als laminar angenommen werden. Diese Annahme ist im Aufbau mit dem der Pumpe direkt nachgelagerten Oxygenator nicht mehr vollständig zutreffend. Außerdem berücksichtigt das Modell keine dynamischen Eigenschaften. Alle genannten Einflüsse lassen sich für den Anwendungsfall der ECLA nicht hinreichend bestimmen um eine Parametrierung vornehmen zu können respektive müssten die Parameter für jeden Aufbau erneut bestimmt werden. Daher muss bei der Nutzung des Modells eine dauerhafte Abweichung toleriert werden. Das grundsätzliche Verhalten von 73 5 Modellbasierte Sicherheitsmaßnahmen 700 2.000 U/min 3.000 U/min 4.000 U/min 5.000 U/min 6.000 U/min 7.000 U/min 8.000 U/min 9.000 U/min 10.000 U/min Messpunkte Druckdifferenz [mmHg] 600 500 400 300 200 100 0 0 2 4 6 Volumenstrom [l/min] 8 10 Abbildung 5.21: Modell des Pumpenkennfeldes gemäß Gleichung (5.9) Modell und Blutpumpe muss vergleichbar sein; lediglich die expliziten Werte können über einen langsam veränderlichen Faktor skaliert sein. Die Koeffizienten des Modells α1 , α2 und α3 wurden mithilfe einer 28 minütigen Messreihe während eines Tierversuches parametriert. Dabei wurden mehrfach die Drehzahlen zwischen 1 000 U/min und 10 000 U/min in 10 Stufen und mehrere Drehzahlsprünge aufgenommen. Das so parametrierte Modell erzielt über die Daten aller In-vivo-Messreihen (ca. 62 Stunden) einen mittleren Fehler von −11,02 mmHg (10 %) bei einer Standardabweichung von 24,51 mmHg. Abbildung 5.22 zeigt die von der Blutpumpe erzeugte Druckdifferenz sowie das Ergebnis der Modellierung nach Gleichung (5.9). Basierend auf dem vorgestellten Modell und den Messgrößen der Blutpumpe wurde ein Maß zur Indikation der Abweichung der Blutpumpe von dem von ihr erwarteten Verhalten erarbeitet [Gathmann(2011)]. In dieses Maß fließen drei Faktoren ein: • Der quadrierte relative Fehler von Messung zum Modell, • Die Differenz der Änderungsraten von Messung zum Modell, • Die kurzfristige Varianz der Strömungsimpedanz. Da, wie schon zuvor erläutert, bei dem Modell davon ausgegangen werden muss, dass eine dauerhafte Abweichung vorliegen kann, fließt der relative Fehler nur schwach gewichtet in das Maß ein. Im Gegensatz zu den absoluten und relativen Abweichungen sollte die grundsätzliche Dynamik zwischen Modell und realer Blutpumpe vergleichbar sein. Wenn die gemessene Druckdifferenz abfällt, muss sich dies auch im Modell widerspiegeln. Um den verschiedenen nicht berücksichtigten Übertragungseigenschaften gerecht zu 74 5.3 Aktuatordiagnose 240 220 Messung Modell Druckdifferenz [mmHg] 200 180 160 140 120 100 80 60 40 12:30 12:45 13:00 13:15 Uhrzeit 13:30 13:45 Abbildung 5.22: Durch die Blutpumpe erzeugte Druckdifferenz im Tierversuch am 08.03.2011 75 Modellabweichung (Indikator) Druckdifferenz [mmHg] 5 Modellbasierte Sicherheitsmaßnahmen 200 150 Messung Modell 100 50 12:00 13:00 14:00 12:00 13:00 Uhrzeit 14:00 2.5 2 1.5 1 0.5 0 Abbildung 5.23: Pumpenmodell angewandt auf die Daten des Tierversuches vom 14.02.2011 werden, wird dieser Faktor über ein Zeitfenster von 10 Sekunden gemittelt betrachtet. Auf diese Weise wird sichergestellt, dass nur kurzfristige Ereignisse in das resultierende Maß einfließen. Für den letzten Faktor wurde – analog zur elektrischen Impedanz – die Strömungsimpedanz definiert zu: ∆p ZS = . Q Dieser Faktor beschreibt den von der Blutpumpe aus gesehenen Strömungswiderstand des Gesamtsystems aus Schläuchen, Kanülen, Oxygenator, aber auch dem Patient. Außerdem werden darin die Einflüsse aufsummiert, die in den Steifigkeiten der einzelnen Komponenten begründet liegen (die Compliance). Die Strömungsimpedanz unterliegt während einer ECLA-Behandlung verschiedenen Einflüssen, was dazu führt, dass diese nicht als konstant angenommen werden kann. Es ist davon auszugehen, dass dies ausschließlich Einflüsse mit einer geringen Dynamik sind, d. h. es sollten keine spontanen Änderungen in der Strömungsimpedanz auftreten. Als letzter Faktor fließt die Änderungsrate in einem Zeitfenster von 10 Sekunden in das etablierte Maß ein. Durch diese zeitlich eingeschränkte Betrachtung kann die Strömungsimpedanz als approximierte Linearisierung im jeweiligen Arbeitspunkt angesehen werden. Abbildung 5.23 zeigt die durch die Blutpumpe erzeugte Druckdifferenz über den zeitlichen Verlauf eines In-vivo-Versuches. Der Verlauf des erarbeiteten Maßes zur Modell- 76 Modellabweichung (Indikator) Druckdifferenz [mmHg] 5.3 Aktuatordiagnose 100 50 0 Messung Modell 13:55 14:00 14:05 14:10 14:15 13:55 14:00 14:05 Uhrzeit 14:10 14:15 2.5 2 1.5 1 0.5 0 Abbildung 5.24: Modellabweichung als Reaktion auf falsch eingestellten 3-Wege-Hahn nach Entnahme einer Blutprobe abweichung vom Pumpenmodell ist im unteren Graphen dargestellt. Die drei zugrunde liegenden Faktoren wurden so normiert, dass jeweils ein Wert von 1 als erkennbare Abweichung anzusehen ist. Mithilfe dieses Maßes konnten verschiedene diskrete Ereignisse detektiert werden. Die Anschlussstellen der Drucksensoren werden meist durch 3-Wege-Hähne verbunden, sodass die Konnektionsstelle auch genutzt werden kann, um Blutproben z. B. zur Validierung der Blutgaswerte zu entnehmen. Abbildung 5.24 zeigt den Verlauf von Messung und Simulation für den Fall, dass ein 3-Wege-Hahn nach der Entnahme der Probe nicht wieder korrekt zurückgestellt wurde. Der Druckmesskanal hinter der Pumpe liefert keine validen Messwerte. Die ansteigende Abweichung zwischen Modell und Messung ist deutlich zu erkennen. Ein weiteres diskretes Ereignis ist in Abbildung 5.25 dargestellt. Hier wurde an der Entnahmekanüle 0,5 ml Luft in den extrakorporalen Blutkreislauf injiziert. Der magentafarbene Balken markiert den Zeitpunkt der Injektion (18:28:58). Durch die Injektion wird zunächst eine Änderung der resultierenden Dichte des geförderten Mediums (Blut und Luft) erzeugt. Diese führt zu einer Änderung der Strömungsimpedanz, welche direkt nach der Injektion zu einer Erhöhung des Indikatormaßes führt. Aufgrund der Schlauchstrecke zwischen Entnahmekanüle und Pumpe vergehen ca. 35 Sekunden, bis die Gasblase im Pumpenkopf ankommt und somit das Förderverhalten der Pumpe verändert. Das Auftreten von Gasblasen konnte mehrfach reproduzierbar detektiert werden. Kleinere Volumina 77 Modellabweichung (Indikator) Druckdifferenz [mmHg] 5 Modellbasierte Sicherheitsmaßnahmen 400 300 200 Messung Modell 100 18:29:00 18:29:15 18:29:30 18:29:45 18:29:00 18:29:15 18:29:30 Uhrzeit 18:29:45 2.5 2 1.5 1 0.5 0 Abbildung 5.25: Modellabweichung als Reaktion auf die Injektion von 0,5 ml Luft in den Blutkreislauf als 0,5 ml wurden allerdings nicht untersucht, größere Volumina konnten ebenfalls erkannt werden. Ausgehend von Maß, ggf. unterstützt durch eine Gasblasenerkennung im Volumenstromsensor, könnte eine Abscheidemechanik eingesetzt werden, die das mit Gas versetzte Volumenelement in ein Auffangreservoir fördert. Das in Abschnitt 5.3.2 beschriebene Ansaugen der Entnahmekanüle führt ebenfalls zu einer signifikanten Abweichung der Blutpumpe vom prognostizierten Verhalten. Abbildung 5.26 zeigt den zeitlichen Verlauf der Messung bzw. des Indikators. Im Gegensatz zum zuvor vorgestellten Modell ist mithilfe des Pumpenmodells nur eine kürzere Vorhersage möglich. Grundsätzlich müsste über das vorgestellte Modell auch das Einspülen eines Blutgerinnsels (Thrombus) in die bzw. auch aus der Blutpumpe heraus zu erkennen sein. Um dies zu untersuchen, müsste jedoch zunächst ein geeignetes Modell für die gezielte Erzeugung bzw. Lösung von Thromben erarbeitet werden. Außerdem wäre zu untersuchen, bis zu welcher Größe Thromben valide detektiert werden können. Weiterführende Maßnahmen, welche in das System eingreifen, sind im Rahmen der Arbeit nicht untersucht worden. 78 Modellabweichung (Indikator) Druckdifferenz [mmHg] 5.3 Aktuatordiagnose 500 400 Messung Modell 300 200 100 0 13:07 13:08 13:09 13:07 13:08 Uhrzeit 13:09 2.5 2 1.5 1 0.5 0 Abbildung 5.26: Ansaugen der Entnahmekanüle an die Blutgefäßwand 5.3.4 Rezirkulation Bei der extrakorporalen Lungenunterstützung mit veno-venöser Kanülierung kann es zu einem Rückfluss innerhalb der Vena cava des Patienten kommen. Dabei fließt ein Teil des im extrakorporalen Kreislauf behandelten Blutes entgegen der eigentlichen Flussrichtung von der Rückgabe- zur Entnahmekanüle. Das Zustandekommen, aber auch die Ausprägung dieser Rezirkulation ist von verschiedenen Faktoren abhängig wie dem extrakorporalen Blutfluss und der Lage der Kanülen innerhalb des Gefäßsystems [133]. Für steigende Rezirkulation bei steigendem extrakorporalen Fluss sind Fälle dokumentiert, in denen der erhöhte extrakorporale Blutfluss zu verschlechtertem Gastransfer geführt hat [70]. In der Literatur finden sich verschiedene Publikationen zur Optimierung der genutzten Kanülen und der Kanülierungstechnik [35, 99, 100, 135]. Zur Quantisierung des Rückflusses wurden verschiedene Methoden erprobt. Alle Methoden nutzen das Prinzip, dass ein Bolus eines Markers in das Blutsystem eingebracht wird und an einer nachgelagerten Stelle im System die veränderte Verteilung des Markers analysiert wird. Ausgehend von der Amplitude und zeitlichen Verteilung des Markers lassen sich Rückschlüsse auf die geförderte Blutmenge ziehen. Dieses Verfahren wurde Ende des 19. Jahrhunderts vorgeschlagen und im 20. Jahrhundert zur Messung des Herzzeitvolumens klinisch etabliert [50, 53, 82, 136, 156, 160]. Das am meisten angewandte und auch auf die ECLA übertragene Verfahren ist die Thermodilution [32, 34]. Dabei wird gekühlte Kochsalzlösung in einer definierten 79 5 Modellbasierte Sicherheitsmaßnahmen Bluttemperatur [°C] 37 36.8 36.6 Transport durch die Zirkulation des Patienten 36.4 36.2 36 Rezirkulation Zeit Abbildung 5.27: Schematische Darstellung einer Thermodilutionsmessung an der ECLA mit Rezirkulation Menge und Temperatur kurz vor der Rückführung des Blutes in den Patienten in den arteriellen Schenkel der ECLA injiziert. Im venösen Schenkel der ECLA wird die Bluttemperatur beobachtet [153]. Abbildung 5.27 zeigt die schematische Darstellung einer idealen Messung. Wenige Momente nach der Injektion kann ein Abfall der Bluttemperatur beobachtet werden. Dieser geht auf die Rezirkulation zurück. Ein zweiter, zeitlich deutlich ausgeprägterer Abfall der Bluttemperatur kann danach beobachtet werden. Dieser geht auf das durch den Patienten transportierte Blutvolumen zurück. Durch die Auswertung dieser Kurven kann das rezirkulierte Volumen berechnet werden. Für dieses Verfahren muss ein weiterer Temperatursensor in das System eingebracht werden. Eine weitere Möglichkeit bietet die Messung der Thermodilution mithilfe eines Ultraschallflusssensors. Das Messsignal eines Ultraschallflusssensors ist abhängig von der Geschwindigkeit des geförderten Volumenelementes, aber auch von dessen Dichte. Durch die Injektion von Kochsalzlösung wird die Dichte so verändert, dass eine Änderung im Messsignal erkennbar ist [32, 34]. Für diese Methoden sind spezielle Ultraschall-Blutflusssensoren notwendig, die zusätzlich zum Blutfluss auch die Signalqualität ausgeben. Außerdem muss der Sensor im venösen Zweig der ECLA installiert werden. Eine weitere vorgeschlagene Methode zur Bestimmung der Rezirkulation einer ECLA nutzt Messwerte einer Blutgasanalyse. Dabei wird das initiale Begasen der ECLA als Sprung in den Blutgaswerten ausgenutzt, um die Rezirkulation zu quantisieren [101]. Dieses Verfahren hat den Nachteil, dass es nur bei großen Blutgasunterschieden, die durch den Oxygenator hervorgerufenen werden, anwendbar ist. Zusätzlich ist nur eine qualitative Aussage möglich, welche aufgrund der geringen Datenlage nicht final gesichert ist. 80 5.3 Aktuatordiagnose Temperatur [°C] 40 35 Rezirkulationsindex [verfahrensspez. Einheit] 30 detektierte Rezirkulation 19:15 19:30 19:45 20:00 20:15 19:15 19:30 19:45 Uhrzeit 20:00 20:15 5 4 3 2 1 0 Abbildung 5.28: Temperaturverlauf während einer Thermodilutionsmessreihe zur Quantisierung der Rezirkulation Zur Quantisierung der Rezirkulation wurde in einem ersten Schritt ein Temperatursensor eingangsseitig in den Oxygenator eingebracht. Der Messansatz wurde im Rahmen von Tierversuchen bei forcierter Rezirkulation evaluiert. Abbildung 5.28 zeigt den Verlauf der Bluttemperatur und die detektierten Boli kalter Kochsalzlösung. Da einige der zur Quantisierung der Rezirkulation benötigten Daten wie die Temperatur der injizierten Kochsalzlösung nicht aufgenommen wurden, ist ein explizites Errechnen der Rezirkulationsrate nicht möglich. Der errechnete Rezirkulationsindex ist auf allen folgenden Abbildungen gleich skaliert. Im Anhang in Abschnitt A.8 bzw. in Abbildung A.4 ist der Algorithmus, der zum Rezirkulationsindex führt im Detail dargestellt. In der vorgestellten Messreihe wurden 5 Boli von je 50 ml bei einer forcierten Rezirkulation von 200 ml/min bis 1 l/min in Schritten von 200 ml/min gegeben. Beim letzten Bolus wurde auch der zweite Umlauf des Bolus durch den Algorithmus detektiert. Das Öffnen der künstlichen Rezirkulationsstrecke ist zum Zeitpunkt 19:42 in der Messung zu erkennen. Die gezeigte Messung benötigt einen zusätzlich in das System eingebrachten Temperatursensor. Um diesen zusätzlich benötigten Sensor im Systemaufbau zu umgehen, wurden die Temperaturmessdaten des venösen CDI Blutgassensors ausgewertet. Die vorgestellte Auswertung der Rezirkulation ist auch auf dieses Messsignal anwendbar. Abbildung 5.29 zeigt die Messung des selben Tierversuches wie in Abbildung 5.28. Die sowohl zeitlich als auch in der gemessenen Temperatur deutlich gröbere Quantisierung ist klar zu erkennen. Daher sind sehr kleine Rezirkulationsraten nur bei sehr großvolumigen Boli durch den 81 5 Modellbasierte Sicherheitsmaßnahmen Temperatur [°C] 40 38 36 Rezirkulationsindex [verfahrensspez. Einheit] 34 detektierte Rezirkulation 19:15 19:30 19:45 20:00 20:15 19:15 19:30 19:45 Uhrzeit 20:00 20:15 5 4 3 2 1 0 Abbildung 5.29: Temperaturverlauf mit dem Blutgasanalysator CDI 500 analog zu Abbildung 5.28 aufgenommen CDI Sensor zu detektieren. Der in Abbildung 5.28 aufgezeigte zweite Umlauf des Bolus bei hohen Rezirkulationsraten konnte z. B. in den Daten des CDI nicht erkannt werden. Im Folgenden wurde die Analyse der Rezirkulation in weiteren Tierversuchen analysiert. Abbildung 5.30 zeigt eine Messreihe aus dem Tierversuch vom 30.09.2010. Dabei wurde die Rezirkulation durch einen extrakorporalen Bypass erlaubt, jedoch nicht forciert, weshalb keine Aussagen über den Grad der Rezirkulation möglich sind. Die Abbildungen 5.31, 5.32 und 5.33 zeigen Messungen, die während eines Tierversuches ohne extrakorporale Rezirkulation aufgenommen wurden. Der Ausschlag in Abbildung 5.31 hatte keine ausreichende Amplitude, um vom Algorithmus als eine Rezirkulationsmessung detektiert zu werden. Bei den in den Abbildungen 5.32 und 5.33 dargestellten Messungen konnte ein Messbolus durch den Algorithmus detektiert werden. Es konnte gezeigt werden, dass die, durch den Blutgasanalysator erhobenen Temperaturmesswerte, im venösen Zweig der ECLA genutzt werden kann, um einen Bolus kalter Kochsalzlösung zu detektieren und darauf basierend eine Aussage über den Umfang der Rezirkulation innerhalb der Vena cava zu tätigen. Aufgrund der groben Quantisierung dieses Sensors sind dieser Messweise Grenzen gesetzt. Der Vorteil dieser Messweise ist jedoch, dass kein zusätzlicher Sensor in das System eingebracht werden muss. Als weiterführende Arbeiten müssen die Grenzen dieser Messmethode genauer untersucht werden, um eine Aussage treffen zu können, bei welchem Bolusvolumen welche Rezirkulationsraten noch zu detektieren sind. 82 5.3 Aktuatordiagnose Temperatur [°C] 36 35.5 35 Rezirkulationsindex [verfahrensspez. Einheit] 34.5 detektierte Rezirkulation 17:45 17:50 17:55 18:00 18:05 17:45 17:50 17:55 18:00 Uhrzeit 18:05 5 4 3 2 1 0 Abbildung 5.30: Temperaturverlauf mit dem Blutgasanalysator CDI 500 (30.09.2010) Temperatur [°C] 36.5 36.4 36.3 Rezirkulationsindex [verfahrensspez. Einheit] 36.2 keine detektierte Rezirkulation 16:05 16:10 16:15 16:05 16:10 Uhrzeit 16:15 5 4 3 2 1 0 Abbildung 5.31: Einzelne Rezirkulationsmessung mit dem Blutgasanalysator CDI 500 (02.07.2009) aufgenommen 83 5 Modellbasierte Sicherheitsmaßnahmen Temperatur [°C] 38.4 38.2 38 37.8 Rezirkulationsindex [verfahrensspez. Einheit] 37.6 detektierte Rezirkulation 21:00 21:05 21:10 21:05 21:10 5 4 3 2 1 0 21:00 Uhrzeit Abbildung 5.32: Einzelne Rezirkulationsmessung mit dem Blutgasanalysator CDI 500 (02.07.2009) aufgenommen Temperatur [°C] 38 37.8 37.6 37.4 Rezirkulationsindex [verfahrensspez. Einheit] 37.2 detektierte Rezirkulation 22:05 22:10 22:15 22:05 22:10 Uhrzeit 22:15 5 4 3 2 1 0 Abbildung 5.33: Einzelne Rezirkulationsmessung mit dem Blutgasanalysator CDI 500 (02.07.2009) aufgenommen 84 6 Entwickelte Hardware Im Rahmen des Projektes SmartECLA ergab sich an verschiedenen Punkten die Notwendigkeit, eigene Hardware zu entwickeln, da die kommerziell verfügbaren Geräte nicht alle Anforderungen erfüllten. Wie bereits in den vorangegangenen Kapiteln erläutert, wurde eine universelle Hardwareplattform (ASMO) entworfen, die aufgrund ihrer modularen Eigenschaften als Basis für die erarbeitete Pumpenkonsole dient. Als Erweiterungen zur ASMO-Plattform wurden Druck- und Temperatursensoren entwickelt. Das folgende Kapitel erläutert den technischen Aufbau und die dadurch erreichten Eigenschaften dieser Komponenten. Darüber hinaus wird auf die Modellbildung und den Entwurf der Blutflussregelung in der entwickelten Pumpenkonsole eingegangen. Teile der in diesem Kapitel vorgestellten Arbeiten wurden bereits publiziert [SDKS10, SGA+ 11, SGB+ 11]. 6.1 Mikrocontroller-Plattform Ausgehend von den in Kapitel 3.5.2 definierten Anforderungen an die datenverarbeitende Hardware mussten weitere Hardwarekomponenten in das System eingeführt werden, die eine Kommunikation der einzelnen Sensoren bzw. Aktuatoren mit der zentralen dSPACE Box ermöglichen. Bei der Entwicklung dieser Plattform wurden Aspekte wie die Wartbarkeit, Ausfallsicherheit, Leistung, Funktionsumfang, Modifizierbarkeit, Wiederverwendbarkeit und Systemeigenschaften wie der benötigte Montageraum und die Kosten des Systems adressiert [140]. Auf diese Attribute wird im Folgenden eingegangen. Ein Ziel der Entwicklungsbemühungen war die Etablierung einer einheitlichen Hardund Softwareplattform für die verteilten Netzwerkknoten, um existente Komponenten bei einem neu zu integrierenden Knoten wiederverwenden zu können und so den Entwicklungsaufwand zu reduzieren. Sowohl die Uniformität der Plattform als auch die zu Entwicklungs- und Wartungszwecken etablierten Benutzerschnittstellen (Sieben-SegmentAnzeigen, optional nutzbares LCD), die es ermöglichen, effizient den Status bzw. die Konfiguration eines Knoten zu ermitteln oder Fehlercodes auszugeben, erhöhen die Wartbarkeit des Systems. Die Plattform wurde so ausgelegt, dass weitere Rechenkapazität über den Prozess der Datentransformation hinaus zur Etablierung eines dezentralen Sicherheitskonzeptes zur Verfügung steht. Ein Softwareframework wurde entwickelt, welches die verschiedenen Prozesse, die auf einem Knoten abgebildet werden sollen bei ihrer Entwicklung und Anpassung unterstützt bzw. deren Interaktion ermöglicht. Details zum Aufbau des Softwareframeworks werden in Kapitel 7 erläutert. Ausgehend von den ersten Erfahrungen mit kommerziellen Boards (Olimex SAM7EX256) wurden in die neue Plattform verschiedene Schutzschaltungen gegen Überspan- 85 6 Entwickelte Hardware Abbildung 6.1: ASMO-Board, das den Anforderungen, zur Erfassung von bis zu vier Blutflussmesskanälen entsprechend bestückt ist nungen, Kurzschlüsse oder hochfrequente Störungen integriert, sodass ein robuster Betrieb ermöglicht wird. Die benötigten Analog-Digital-Umsetzer (ADU) und Digital-AnalogUmsetzer (DAU) Einheiten wurden inklusive BNC-Anschlussbuchsen integriert. Zur Verbesserung der analogen Signalqualität wurde eine entkoppelte analoge Masse im Schaltungslayout etabliert. Zusätzlich wurde die Hardware gegen über die CAN-Leitung induzierte Spannung geschützt. Dazu wurden stromkompensierte Drosseln und einer Diodenschaltung integriert. Vier 7-Segment-Anzeigen wurden hinzugefügt, über die ein schnelles erstes Debuggen ermöglicht wird. Eine auf einem 15-poligen D-Sub Stecker (DE15) basierende Schnittstelle wurde eingeführt, die verschiedene modulare Erweiterungen zulässt. Durch ein modulares Layout können die einzelnen Knoten vollständig oder aber nur die am jeweiligen Einsatzort benötigten Module bestückt werden. Aufgrund der sehr kompakten Bauweise lässt sich der gesamte Knoten in einem Gehäuse mit den Abmessungen 190 mm x 100 mm x 40 mm unterbringen. Abbildung 3.6 zeigt ein vollständig bestücktes ASMO-Board. Eine weitergehende Dokumentation der neu designten Hardwareplattform ist im Anhang A.3 zu finden. Die Modularität der Plattform ermöglicht den Einsatz der gleichen Hardware an jedem Punkt im System. Sollte es nicht geplant sein, den Einsatzpunkt eines Knotens variieren zu können, müssen nur die Basisbestückung und die für den designierten Einsatz benötigten Komponenten eingesetzt werden, sodass die Kosten für einen Knoten minimiert werden. Abbildung 6.1 zeigt ein teilbestücktes ASMO-Board zur Aufnahme von bis zu vier Blutflussmesswerten. 86 6.2 Druckmesser 6.2 Druckmesser Die Realisierung der in Abschnitt 5.2.2 diskutierten Analyse der Druckverhältnisse im Oxygenator und der in Abschnitt 5.3.3 vorgestellten modellbasierten Diagnose der Blutpumpe erfordert die Integration weitere Drucksensoren in das System, die sowohl eine ausreichende zeitliche Auflösung als auch einen ausreichenden Messumfang aufweisen. Da auf den schon vorhandenen Messgeräten keine ausreichende Anzahl an Druckmesskanälen zur Verfügung stand und die Existierenden die genannten Anforderungen nicht erfüllten, wurde eine Schaltung für die ASMO-Boards erarbeitet, die über den 15-poligen Erweiterungsstecker angebunden wird. Die Erweiterung stellt 4 piezoelektrische Druckmesskanäle, die jeweils als WheatstoneMessbrücke verschaltet sind, zur Verfügung. Das erzeugte Messsignal wird mithilfe einer Instrumentenverstärkerschaltung (ausgehend von einem INA2321 Baustein) aufbereitet und durch den ADU des Mikrocontrollers digitalisiert. Die resultierende Auflösung des digitalen Signals beträgt 0,67 mmHg, wobei die Druckmesskanäle jeweils einen Messbereich von ca. 680 mmHg abdecken. Im Rahmen des Projektes SmartECLA werden die Kanäle mit einer Frequenz von ca. 20 Hz abgetastet. 6.3 Temperaturmesser Die erste Evaluation der in Abschnitt 5.3.4 vorgestellten Messung der Rezirkulation von Blut innerhalb der Vena cava nutzt eine Thermodilutionsmessung. Dazu wurde ein Temperatursensor mit geringer Totzeit in das System eingebracht. Als Sensor fungierte ein handelsüblicher Swan-Ganz-Katheter, der über einen Luer-Lock-Anschluss in den Oxygenator eingesetzt wurde. Der Katheter misst die Temperatur mithilfe eines temperaturabhängigen Widerstandes in einer Spannungsteilerschaltung. Das Messsignal des Katheters wird über eine Impedanzwandler-Verstärker-Schaltung aufbereitet und durch einen internen ADU des Mikrocontrollers digitalisiert. Die erarbeitete Schaltung wird über den 15-poligen Erweiterungsstecker an die ASMO-Boards angebunden. Die Schaltung ist so ausgelegt, dass ein Messbereich von 20 ◦ C bis 45 ◦ C mit einer Auflösung von 0,027 ◦ C erfasst wird. Die Temperaturmesskanäle wird mit einer Frequenz von ca. 50 Hz abgetastet. 6.4 Pumpenkonsole Der Funktionsumfang der erarbeiteten Pumpenkonsole wurde in Kapitel 3.5.3 dargelegt. Die Hardware basiert auf der in Abschnitt 6.1 eingeführten Plattform, die um einen ATmega644 erweitert wurde. Dieser ermöglicht das Anbinden verschiedener Benutzerschnittstellen, für die der ARM7-Mikrocontroller keine ausreichende Anzahl von Einbzw. Ausgängen aufweist. Parallel zur Erstellung der Hardware wurde ein Blutflussregler ausgelegt. 87 6 Entwickelte Hardware Q ωr + ω - Drehzahlregler u Motor ω pZV* Pumpe Q Δp Oxygenator Kanülen Schläuche Q pZV Patient Q Flusssensor Qm Druck- Δpm sensoren Abbildung 6.2: Modell des Blutpumpensystems (Abbildung angelehnt an [Gathmann(2011)]) 6.4.1 Modellbildung Zur Modellbildung wurde das Blutpumpensystem in einzelne Komponenten zerlegt bzw. genähert (Abbildung 6.2). Dort sind elektrisch agierende Blöcke in blau, mechanische Kraftübertragung in grau und Blutvolumenströme sind in rot dargestellt. Systemaufbau Der in Abschnitt 3.5.3 vorgestellte Drehzahlregler der Firma Maxon erhält als Sollwert die Drehzahlvorgabe ω r , die in ein Spannungssignal u, das an die Motorwindungen angelegt wird, resultiert. Die vom Motor erzeugte Drehzahl ω wird in den Pumpenkopf eingekoppelt, der für diese Betrachtung als Druckquelle angenähert wird. Die Pumpe erzeugt eine Druckdifferenz ∆p und einen Blutvolumenstrom Q aufgrund der Drehzahl ω. Den Zusammenhang liefert das Pumpenkennfeld, welches im Folgenden eingeführt wird. Das durch die generierte Druckdifferenz ∆p geförderte Volumen gelangt durch den Oxygenator, über die Schläuche und die Rückgabekanüle zum Patienten und trägt dort zum zentralvenösen Druck pZV bei. Der extrakorporale Blutfluss Q wird aufgrund der Inkompressibilität von Blut innerhalb der extrakorporalen Strecke als konstant angenommen. Da im Fall der VV-ECLA das verbindende Gefäß der Entnahme- und der Rückgabekanüle (die Vena cava inferior) großvolumig ist und durch die horizontale Lagerung des Patienten kein hydrostatischer Druck überlagert wird, kann der aus der Vene des Patienten zur Blutpumpe zurückgeführte Druck pZV ∗ zum Druck pZV vereinfacht werden [22]. Der extrakorporale Fluss Q und die durch die Pumpe erzeugte Druckdifferenz ∆p werden durch entsprechende Sensoren aufgenommen und als Messwerte Qm bzw. ∆pm ausgegeben. Blutpumpe – Medos DP 2 Stationär kann das Gesamtsystem aus Drehzahlregler, Motor und Pumpenkopf (die Blutpumpe) durch das Pumpenkennfeld beschrieben werden. Auch dieses Kennfeld wurde mit einer Wasser-Glycerin-Lösung, welche wie erwähnt mit Blut vergleichbare Fließeigenschaften hat17 , aufgenommen und ist in Abbildung 6.3 dargestellt [Gathmann(2011)]. Dieses Kennfeld korreliert gut mit dem Pumpenkennfeld 17 dynamische Viskosität η = 3,6 mPa bei einer Temperatur von 37 ◦ C. 88 Druckdifferenz [mmHg] 6.4 Pumpenkonsole 600 500 400 300 200 100 0 10000 8000 6000 4000 Drehzahl [min−1] 2000 0 2 4 6 8 10 Volumenstrom [l/min] Abbildung 6.3: Gemessene Kennlinie der eingesetzten Blutpumpe Medos DP2 aus den Herstellerangaben der Blutpumpe [110]. In Versuchen mit Tierblut konnten vergleichbare Werte festgestellt werden. Dabei ist zu berücksichtigen, dass die dynamische Viskosität von Blut aufgrund seiner Eigenschaft als nicht-Newtonsche Flüssigkeit scherratenabhängig ist. Zusätzlich ist die Kennlinie von anderen Parametern wie dem Hämatokrit oder der Bluttemperatur abhängig (vgl. Kapitel 2.1.3 und 5.3.3), die hier nicht berücksichtigt wurden. Drehzahlregler – Maxon 4-Q-EC DECV 50/5 Der Drehzahlregler ist eine kommerziell erworbene und speziell für die eingesetzten Motoren ausgelegte Komponente. Über diese Regelung liegen nur eingeschränkte Informationen vor [108]. Laut Hersteller handelt es sich um einen Regler mit integralem und proportionalem Anteil [Gathmann(2011)]. Die Drehzahl ω ist nach unten auf 1 000 U/min und nach oben durch einen maximalen Motorstrom von 1 A bzw. 30 000 U/min beschränkt. Motor Das Übertragungsverhalten des bürstenlosen Gleichstrommotors wurde in Anlehnung an [72, 105, 118] beschrieben zu: dω(t) + kR · ω(t) = kD · i(t) − MLast , dt di(t) 2 L + R · i(t) + · kS · ω(t) = u(t). dt 3 (J + J Last ) (6.1) (6.2) 89 6 Entwickelte Hardware Dabei beschreibt Gleichung (6.1) das Momentengleichgewicht des vom Motor erzeugten Drehmoments unter Berücksichtigung der Trägheit des Motors J und der beschleunigten Last J Last bei einer Drehzahl ω(t) sowie des Reibungskoeffizienten kR . Der Reibungskoeffizient streng genommen nach trockenem und viskosem Reibungsanteil zu differenzieren ist [72]. Das durch den Motor erzeugte Drehmoment ist gleich dem Produkt aus der Drehmomentkonstanten kD und dem Strom durch die Motorwindungen i(t) abzüglich des einwirkenden Lastmoments MLast . Die über den Motorwindungen abfallende Spannung u(t) wird in Gleichung (6.2) bilanziert. Die Spannung kann durch die Summe der über der ohmschen Last R, der Induktivität der Motorwindungen L und der im Motor rückinduzierten, drehzahlabhängigen Spannung dargestellt werden. Die induzierte Spannung wird als Produkt des Spannungskonstanten kS und der Drehzahl ω(t) beschrieben, wobei der Faktor 23 in der Verschaltung bzw. der Ansteuerung der Motorwindungen begründet liegt [118]. In der Literatur ist dargelegt, dass vereinfachend kD = 23 kS angenommen werden kann [72, 105]. Unter Vernachlässigung des einwirkenden Lastmoments lässt sich die Übertragungsfunktion des Motors aufstellen zu: GMotor = KD . ((J + J Last ) s + KR ) (Ls + R) + KD 2 Es ist jedoch davon auszugehen, dass der vorgelagerte Drehzahlregler durch sein langsameres Zeitverhalten das zusammengefasste System aus Drehzahlregler und Motor dominiert. Da über den zur Messung der Motordrehzahl ω(t) eingesetzten Hallsensor keine weiteren Informationen vorliegen, wurde dieser in der Modellbildung als ideal angenommen. Ausgehend von Sprungversuchen wurde das System der Blutpumpe (Drehzahlregler, Motor und Pumpenkopf) zu einem Verzögerungsglied zweiter Ordnung vereinfacht. Der Pumpenkopf war bei diesen Versuchen mit der zuvor genannten Wasser-Glycerin-Lösung gefüllt. Abbildung 6.4 zeigt die Sprungantwort des Drehzahlreglers. Eine dauerhafte Regelabweichung und ein leichtes Überschwingen sind zu erkennen. Die dauerhafte Regelabweichung spricht gegen die Aussage, dass die Drehzahlregelung einen integralen Anteil aufweist. Die Einschwingzeit des Systems beträgt ca. 0,7 Sekunden. Blutdrucksensor Der Drucksensor wird als stationär fehlerfrei und mit einer nicht dominanten Zeitkonstante angenommen. Oxygenator, Kanülen, Schläuche und Patient Verschiedene die Strömungsmechanik beeinflussende Faktoren, wie die exakte interne Geometrie des Oxygenators18 , die Länge der Schläuche oder die exakte Lage der Kanülen im Gefäßsystem müssen als interindividuell variierend angesehen werden (d. h. diese Parameter sind von ECLA- zu ECLA-Anwendung nicht konstant). Da diese Faktoren jedoch nicht nur verschiedene Koeffizienten des Strömungsverhaltens, sondern auch die Art der Strömung, z. B. der 18 Trotz industrieller Fertigung kann nicht davon ausgegangen werden, dass der interne Aufbau der Faserlagen innerhalb einer Oxygenatormodellreihe konstant ist. 90 6.4 Pumpenkonsole 3000 Drehzahl [U/min] 2800 2600 2400 2200 Ist−Drehzahl Soll−Drehzahl 2000 −2 0 2 4 6 8 Zeit [s] Abbildung 6.4: Sprungantwort des Drehzahlregler-Motor Systems der Firma Maxon Übergang von laminarer zu turbulenter Strömung beeinflussen, ist eine vollständige Modellierung nicht möglich. Für einzelne Systemabschnitte, wie innerhalb des Oxygenators und in den Schläuchen, lässt sich die Strömung in den meisten Fällen als laminar annehmen [28, 78]. In diesen Abschnitten kann das Strömungsverhalten durch das Gesetz von Hagen-Poiseuille beschrieben werden (vgl. Gleichung (5.6)). Weitere Einflussfaktoren auf die Strömungseigenschaften sind die schon angesprochene Eigenschaft von Blut als nicht-Newtonsche Flüssigkeit sowie die körperinternen Regulationsmechanismen und die Abhängigkeit der Gefäßcompliance des Patienten von Faktoren wie dem „Füllungszustand des Niederdrucksystems, dem vorherrschenden transmuralen Druck oder dem Venentonus“ [22]. Im Gegenzug kann der Druckabfall über dem Patienten aufgrund der zentralvenösen Kapazitätsgefäße als vernachlässigbar angesehen werden, da der signifikante Anteil des Druckabfalls über dem Oxygenator, den Schläuchen und Kanülen verursacht wird. Die Einflüsse des Patienten auf den resultierenden Blutfluss können im Wesentlichen als Parallelschaltung von mehreren Strömungswiderständen mit Tiefpassverhalten angesehen werden. Aufgrund der beschriebenen Eigenschaften muss das System aus Oxygenator, Kanülen, Schläuchen und Patient im Allgemeinen als nichtlinear angesehen werden. Für die durchgeführte Modellbildung wurde dieser Systemteil dennoch zu einem linearen Modell vereinfacht, um die Kompexität des Gesamtsystems gering zu halten. Daher wurde die zugehörige Übertragungsfunktion im durch die Tierversuche definierten Arbeitspunkt linearisiert (vgl. [118]). Blutflusssensor – Transonic HT110 Eine Modellbildung des Blutflusssensors (BFS) erfolgte bereits in [173]. Dabei wurde das Übertragungsverhalten der Ausgänge (pulsatile und average) als Tiefpass erster bzw. zweiter Ordnung identifiziert. Zusätzlich ist in mehreren Versuchen ein hochfrequentes Rauschen im Messsignal identifiziert worden, das aufgrund der Trägheit des geförderten Mediums nicht ursächlich im gemessenen 91 6 Entwickelte Hardware Volumenstrom zu suchen ist. In [86] wurde für den BFS eine Totzeit von 0,04 Sekunden identifiziert. Die Übertragungsfunktionen der beiden Messkanäle des BFS wurden beschrieben als: e−Td,BFS ·s , TBFS,pulsatile · s + 1 e−Td,BFS ·s . GBFS,average (s) = 2 TBFS,average · s2 + dBFS,average · TBFS,average · s + 1 GBFS,pulsatile (s) = Gesamtübertragungsfunktion Die Gesamtübertragungsfunktion des in Abbildung 6.2 eingeführten Blutpumpensystems (BP) von einer Solldrehzahl ω r zu einem Blutfluss Q muss als Resultierende verschiedener Systeme erster und zweiter Ordnung angenommen werden. Zu erwarten wäre ein Modell höherer Ordnung, dessen Koeffizienten nicht alle allgemein bestimmt werden können [105]. Daher wurde zur Vereinfachung der Beschreibung des Systemverhaltens nach einer Übertragungsfunktion niederer Ordnung gesucht und ein System zweiter Ordnung angenommen. Die resultierende Gesamtübertragungsfunktion wurde, basierend auf dem Flussverhalten als PT2 -Glied modelliert: GBP (s) = KBP Q(s) = 2 . ω r (s) TBP · s2 + dBP · TBP · s + 1 (6.3) Diese Modellbildung nutzt die Linearisierung des Flussverhaltens über dem Oxygenator, der Kanülen, den Schläuchen und dem Patienten. Zusätzlich erfolgte eine Linearisierung des Pumpenkennfeldes im mittleren Arbeitspunkt. Parametrierung Dieses Modell wurde im Rahmen von fünf Tierversuchen mit Schweinen durch Sprungversuche über alle relevanten Arbeitsbereiche parametriert. Dabei wurden sowohl Drehzahlsprünge zwischen 1 000 U/min und 8 000 U/min sowie Drehzahltreppen mit einer Stufenhöhe von 1 000 U/min (1 000 U/min bis 10 000 U/min) vorgegeben. Die Parametrierung des Modells erfolgte mithilfe der MATLAB System Identification Toolbox. Die Dämpfung dBP ist ca. 2 und die Zeitkonstante des Systems beträgt ca. TBP ≈ 0,5 s. Das parametrierte Modell der Gesamtstrecke nach Gleichung (6.3) wurde gegen die Daten aus 56 Minuten Tierversuchsdaten, die nicht zur Parametrierung genutzt wurden, validiert. Dabei wurden Drehzahlen zwischen 1 000 U/min und 14 500 U/min mit resultierenden Blutflüssen zwischen 0,4 l/min und 4,9 l/min, erreicht. Abbildung 6.5 zeigt einen Ausschnitt aus diesen Messwerten. Dargestellt sind die errechneten Modellwerte und der gemessene Blutvolumenstrom sowie die jeweils vorgegebene Drehzahl. Das bestimmte Modell weicht in seinem dynamischen Verhalten nicht signifikant von der gemessenen Strecke ab. Es sind jedoch stationäre Abweichungen bei sehr hohen und niedrigen Blutflüssen zu erkennen. Das Modell weist in den Validierungsmessungen einen Fehler von εrms = 0,46 l/min, bei einem mittleren Fluss von Q = 2,37 l/min. Bei Flüssen größer als 4,5 l/min erreicht die Abweichung 25 %. Werden nur Messwerte aus 92 5 8000 4 6000 3 4000 2 2000 Messwerte Modell Drehzahl 1 0 0 50 100 Zeit [s] Drehzahl [U/min] Blutfluss [l/min] 6.4 Pumpenkonsole 0 150 200 Abbildung 6.5: Vergleich der über das Modell berechneten mit den gemessenen Daten, sowie eingestellter Solldrehzahl dem für die Tierversuche relevanten Blutflussbereich von 0,5 l/min bis 4,5 l/min in Betracht gezogen, reduziert sich der Fehler auf ε∗rms = 0,29 l/min. Diese Abweichungen lassen sich auf die Vereinfachung des Flusswiderstandes bzw. der Strömungseigenschaften von Blut zurückführen und müssen bei der Auslegung eines Reglers – genauso wie die teils dauerhafte Abweichung des Drehzahlreglers – berücksichtigt werden. Zusätzlich zeigt das Messsignal hochfrequenten Störungen. Das gefundene Modell ist nur für Schweine und den in Abbildung 6.2 vorgestellten Systemaufbau ausgelegt. Die Übertragbarkeit auf andere Systemkomponenten oder andere Patientenmodelle wurde nicht untersucht. 6.4.2 Regelung des extrakorporalen Blutflusses Das aufgestellte Modell der Strecke wurde genutzt um eine Regelung zu entwerfen. Dabei wurden verschiedene Anforderungen an die Regelung gestellt. Es soll kein deutliches Überschwingen auftreten. Die Einschwingzeit soll unter 2,5 s liegen. Der erarbeitete Regelungsalgorithmus muss zeitdiskret ausgelegt werden, damit er auf der Hardware der Pumpenkonsole implementiert werden kann. Schließlich liegt, aufgrund der hohen Modellvereinfachungen wie sie im vorherigen Abschnitt motiviert wurden, ein besonderes Augenmerk auf der Stabilität des Reglers. Dazu wird im offenen Regelkreis ein Phasenrand von mindestens 60◦ und ein Amplitudenrand von mindestens 20 dB gefordert. Zur Realisierung der Regelung wurde ein PI-Regler ausgewählt, da dieser eine dauerhafte Regelabweichung, hervorgerufen durch Modellunsicherheiten bzw. die unterlagerte Drehzahlregelung durch den Integral-Anteil vermeiden kann. Aufgrund der Modellunsi- 93 6 Entwickelte Hardware 0 -20 -40 -90 Phase [°] Verstärkung [dB] 20 -120 -150 -180 -1 10 100 Frequenz [Hz] 101 102 Abbildung 6.6: Bode-Diagramm des offenen Regelkreises (Abbildung entnommen aus [Gathmann(2011)]) cherheiten und des Messrauschens des Blutflusssensors wurde auf einen Differenzial-Anteil zugunsten der Stabilität der Regelung verzichtet. Die Parameter des ausgewählten PI-Regler wurden mithilfe der MATLAB Control Toolbox unter Berücksichtigung der zuvor genannten Anforderungen iterativ mit dem Ziel der minimalen Einstellzeit optimiert. Das Bodediagramm des resultierenden Reglers ist in Abbildung 6.6 gegeben. Der sich ergebende Phasenrand liegt bei 71 ◦ . Der Amplitudenrand ist unendlich groß. Die simulierte Sprungantwort des geschlossenen Regelkreises ist in Abbildung 6.7 dargestellt. Die Anstiegszeit beträgt T63 % = 0,52 s sowie die Einschwingzeit T = 1,08 s mit einer Abweichung unter 2 %. Es tritt kein Überschwingen auf. Umsetzung Zur Implementierung des Regelungsalgorithmus auf dem Mikrocontroller der Pumpenkonsole muss dieser diskretisiert werden. Als zeitdiskrete Übertragungsfunktion wurde genutzt: (z + 1) GR (z) = KP + KI · . (z − 1) Der erarbeitete Regelungsalgorithmus wird als Anwendung mit einer Periode von 10 ms implementiert, sodass der Algorithmus um den Faktor 20 schneller als die Messung der Blutflusswerte läuft und somit als quasikontinuierlich angesehen werden kann [106] [Gathmann(2011)]. Da der zugrunde liegende Drehzahlregler des genutzten Motors Stellgrößenbeschränkungen mit einer minimalen und maximalen Drehzahl bzw. einer Strombegrenzung besitzt, wurde der Algorithmus zusätzlich mit einem anti-windup ausgestattet. Validierung Der erarbeitete und implementierte Regelungsalgorithmus wurde zunächst in In-vitro-Versuchen mit einer Blutersatzflüssigkeit (HAES-Lösung) überprüft, welche mit Blut vergleichbare Fließeigenschaften besitzt [SGA+ 11]. Nach erfolgreicher Erprobung im Labor konnte dieses Ergebnis im Rahmen von zehn Tierversuchen reproduziert 94 6.4 Pumpenkonsole 1 0.8 0.6 0.4 0.2 BlutflussSoll Blutfluss ist,simuliert 0 0 1 2 Zeit [s] 3 4 5 Abbildung 6.7: Simulierte Sprungantwort der geschlossenen Regelung (Abbildung entnommen aus [Gathmann(2011)]) werden. Abbildung 6.8 zeigt den resultierenden gemessenen Blutfluss für einen Sprung in der Stellgröße. Es sind beide Ausgänge (average und pulsatile, vgl. Kapitel 3.5.1) des Blutflussmessgerätes dargestellt. Die größte gemessene Einstellzeit lag bei 1,78 s. Während der Tierversuche wurde Überschwingen von < 3 % festgestellt. Dies entspricht der Größenordnung des Messrauschens des Blutflusssensors. 95 6 Entwickelte Hardware Blutvolumenstrom [l/min] 4 3,5 3 2,5 Q soll Q 5Hz Q 0.1Hz 2 2,5 1 0 1 2 3 4 Zeit [s] 5 6 7 Abbildung 6.8: Gemessene Sprungantwort der Pumpenkonsole im Tierversuch (Abbildung entnommen aus [Gathmann(2011)]) 96 7 Softwarekonzept zur Automatisierung der ECLA In den Kapiteln 4 und 5 wurde das Sicherheitskonzept für die extrakorporale Lungenunterstützung erarbeitet, eine spezielle Hardware zur Integration des Sicherheitskonzeptes in den Systemaufbau in Kapitel 6. In diesem Kapitel wird ein Softwareframework entwickelt, das die effiziente Integration der benötigten Algorithmen durch eine modulare Struktur, durchgehende Schnittstellendefinitionen und darauf basierenden Abstraktionen ermöglicht. Die datenverarbeitenden Komponenten im Systemaufbau (vgl. Kapitel 3.5) sind eine zentrale Rapid Control Prototyping (RCP)-Plattform (dSPACE MicroAutoBox vgl. Anhang A.2.2), sowie die verteilten dezentralen Netzwerkknoten (ASMO-Boards vgl. Kapitel 3.5.2). Die MicroAutoBox wird mithilfe der ControlDesk Toolbox für MATLAB direkt aus Simulink programmiert. Dies ermöglicht ein effizientes Abbilden und Evaluieren der Regelungsstrategien. Das dSPACE-System und die ASMO-Boards bilden ein Netzwerk, das technisch die Datenverarbeitung im System realisiert. Das darüberliegende Softwareframework wurde, ausgehend von den Randbedingungen der Anwendung, entworfen. Der auf diese Weise erzeugte Verbund aus verteilten Knoten eines heterogenen Netzwerks mit verschiedenen Anwendungspunkten lässt sich durchaus als cyber-physikalisches System (CPS) auffassen. Es werden unterschiedliche Strukturen mit ungleichen Schnittstellen miteinander verbunden, was zu neuen Herausforderungen bei der Entwicklung der Software für diese Systeme führt. Teile der in diesem Kapitel vorgestellten Arbeiten wurden bereits publiziert [SGW+ 11, SL09, KS11, KRS12]. 7.1 Anforderungen Die eingeführten Maßnahmen zeichnen einen vielfältigen Katalog von Randbedingungen an die einbettende Hardware. Zusätzlich zu den Anforderungen des Sicherheitskonzeptes wurden die Entwicklungsbedingungen, die Wartbarkeit und die Prädizierbarkeit des zu entwerfenden Systems adressiert. Zur Verbesserung der Übertragbarkeit und Wartbarkeit wird eine einheitliche Hardund Softwareplattform benötigt [124]. Alle Knoten nutzen einen gemeinsamen Basisfunktionsumfang, sodass nur die spezifische Funktionalität implementiert werden muss. Durch diese einheitliche Plattform wird der Wartungsaufwand gering gehalten [41, 127]. 97 7 Softwarekonzept zur Automatisierung der ECLA Die einzelnen Knoten müssen mit ihrer Umwelt in Form von Sensoren und Aktuatoren interagieren können. Die dazu benötigten Schnittstellen sind: • Serielle Schnittstelle nach dem RS-232-Standard • Eingänge für analoge Spannungen • Ausgänge für analoge Spannungen • ein Kommunikationskanal zwischen den Knoten und zur dSPACE Box Ausgehend von den Schnittstellen der dSPACE-Box wurde CAN als Kommunikationskanal ausgewählt. Die einzelnen ASMO-Knoten dienen der Kommunikation mit dem verbundenen Sensor bzw. Aktuator. Darüber hinaus sollen die Knoten jedoch auch zur Implementierung der vorgestellten Komponenten des Sicherheitskonzeptes genutzt werden. Daher muss es möglich sein, verschiedene Prozesse zeitgleich ablaufen zu lassen (Multitasking). Die Entwicklung eines Prozesses soll durch verschiedene Aspekte vereinfacht bzw. unterstützt werden. Die Anforderungsanalyse hat gezeigt, dass einige der abzubildenden Sachverhalte auf komplexen mathematischen Modellen beruhen. Daher ist die Integration von Modellierungssoftware in den Softwareentwicklungsprozess wünschenswert. Hierzu wird MATLAB/Simulink als Tool zur grafischen Modellierung genutzt, weil es die Möglichkeit bietet, aus den erzeugten Modellen zugehörigen Code zu generieren. Dennoch muss es möglich sein, in einer imperativen Programmiersprache Algorithmen direkt zu hinterlegen und Eigenschaften wie die zugeteilte CPU-Zeit oder die Abfolge der einzelnen Prozesse zu beeinflussen. Dies ist vor allem von Vorteil, wenn proprietäre Protokolle von unterschiedlichen medizinischen Sensoren zu implementieren sind. Das Abbilden von Kommunikationsprotokollen und den damit verbundenen Übertragungsspezifika wie Bitstopfen oder Steuerungszeichen sowie Sicherungsmechanismen kann aufgrund der grafischen Modellierungsumgebung sehr komplex sein. Zusätzlich soll der Entwickler einer neuen Anwendung durch Architekturen zur Datenund Zeitverwaltung unterstützt werden. Nach einer Definition der benötigten Datensätze bzw. Zeitinformationen soll eine Abstraktionsschicht diese zur Verfügung stellen. Um die verfügbaren Ressourcen der Knoten entsprechend einteilen zu können, muss die eingesetzte Software es ermöglichen, anwendungsbezogen den Speicherverbrauch zu prädizieren und die maximale Ausführungszeit abzuschätzen. 7.2 Softwarearchitektur Die aufgeführten Anforderungen motivieren den Einsatz eines Echtzeit-Betriebssystems (RTOS), das es ermöglicht, die zur Verfügung stehenden Ressourcen unter kalkulierbaren Randbedingungen zu verteilen. Dazu wurde das Betriebssystem ChibiOS/RT ausgewählt und angepasst bzw. weiterentwickelt [37]. 98 7.2 Softwarearchitektur 7.2.1 ChibiOS/RT Das eingebettete Echtzeitbetriebssystem ChibiOS/RT ist eine unter der GNU General Public License (GPL) 3 Lizenz publizierte, quelloffene Software. Sie fußt auf einem Mikrokernel [21], der durch eine strikte Hardwareabstraktion die Unabhängigkeit von der zugrundeliegenden Hardware garantiert. Der Scheduler ermöglicht präemptive Nebenläufigkeit mit 128 Priorisierungsstufen unter Nutzung einer Round-Robin-Schedulingstrategie. Für den genutzten ARM7-Mikrocontroller AT91SAM7 benötigt das reine Betriebssystem ohne Nutzprozesse (vollständiger Kernel und zwei leere Prozesse idle und main) 8 688 Byte Programmspeicher und 580 Byte Arbeitsspeicher; ein vollständiger Kontextwechsel benötigt bei 48 MHz ca. 2,62 µs [40]. Die Echtzeiteigenschaften von ChibiOS/RT sind nicht mithilfe von formalen Methoden nachgewiesen worden. ChibiOS/RT wurde als Betriebssystem für betriebssicherheitsrelevante Anwendungen entworfen, was sich in verschiedenen Eigenschaften der Software abbildet. Der Kernel verwendet ausschließlich statische Datenstrukturen, weshalb Aussagen über das Laufzeitverhalten der Software möglich sind. Dem Anwender werden optional Strukturen zur dynamischen Speicherverwaltung zur Verfügung gestellt, die jedoch nicht im Kernel genutzt werden. Zusätzlich zu überprüften Zusicherungen auf die erwarteten Parametereigenschaften lassen sich optional Fehlerfälle im Kernel abfangen bzw. in gewissem Rahmen behandeln. Zu ChibiOS/RT existiert eine konsistente und dokumentierte Programmierschnittstelle (API), welche gepflegt wird und Erweiterungen sowohl in Bezug auf neue Hardware durch eine Hardwareabstraktionsschicht als auch auf neue Softwarekomponenten ermöglicht [38]. Architektur von ChibiOS/RT Das Betriebssystem ChibiOS/RT ist als mehrschichtige Architektur ausgelegt (siehe Abbildung 7.1). Die Zugriffe auf die Hardware werden durch eine Hardwareabstraktionsschicht (HAL) gekapselt. Durch diese Kapselung ist die Software effizient auf andere Hardwareplattformen portierbar [Sehl(2012)]. Der Kernel organisiert als eigenständiges Modul den Programmablauf mit einem timergesteuerten Scheduler. Zusätzlich offeriert der Kernel verschiedene Methoden zur Zeitmessung bzw. Interaktion eines Prozesses mit der Arbitrierung (z. B. das Zurückweisen nicht mehr benötigter Prozessorzeit). Basierend auf der Konfiguration von ChibiOS/RT werden verschiedene Methoden zur Synchronisation der verschiedenen Prozesse im System bereitgestellt. Diese werden im folgenden Abschnitt genauer erläutert. Optional ermöglicht der Kernel außerdem die dynamische Allokation bzw. Deallokation von Datenspeicher. Anwendungsprogramme können auf die angebotenen Dienste des Kernels und auf die Hardwarefunktionalität über definierte Schnittstellen zugreifen. Dabei muss eine Anwendung unter Angabe einer Priorität und der von ihr benötigten Speichermenge auf dem Stack beim Kernel registriert werden. Für Hardwarezugriffe muss die Hardware vor dem ersten Zugriff durch die Anwendung konfiguriert werden. 99 7 Softwarekonzept zur Automatisierung der ECLA User Anwendungen Anwendung 1 Scheduler ... Anwendung n Speicherverwaltung Kernel Synchronisation Hardwareabstraktionsschicht (HAL) Hardware Abbildung 7.1: Software Architektur und resultierende Schnittstellen von ChibiOS/RT Generische Treiberarchitektur Die Hardwareabstraktion von ChibiOS/RT ist zweischichtig aufgebaut und dabei in High- und Low-Level-Treiber (HLD & LLD) eingeteilt. Abbildung 7.2 zeigt den Ablauf von Hardwarezugriffen. Der LLD enthält die hardwarespezifische Implementierung eines Treibers für die jeweilige Zielarchitektur. Der HLD stellt die Schnittstelle für die weiteren Komponenten im System dar. Der Zugriff auf die HAL kann sowohl durch den Kernel als auch durch Anwendungen direkt erfolgen. Außerdem ist es möglich, dass High-Level-Treiber auf andere High-LevelTreiber zurückgreifen. So nutzt z. B. der Treiber für SD- bzw. MMC-Speicherkarten den SPI-Treiber, da der physikalische Zugriff auf die Speicherkarte über die SPI-Schnittstelle erfolgt. In der HAL werden Servicedienste wie die Belegungs- und Statusverwaltung von Ressourcen oder das Verwalten der Ressourcenkonfiguration, abgebildet. Die Statusverwaltung eines Treibers erfolgt dabei mittels eines Zustandsautomaten. Abbildung 7.3 zeigt einen generischen Zustandsautomaten, auf den alle Treiber zurückzuführen sind. Ein Treiber muss jeweils mithilfe einer Initialisierungsroutine einmalig auf die Nutzung vorbereitet werden. Mithilfe von Start- und Stop-Funktionen wird die jeweilige Ressource einsatzbereit konfiguriert. Abhängig vom Treiber können weitere Zustände zur Abbildung der gewünschten Funktionalität vorgesehen sein (gestrichelt dargestellt). Hardwarekonfiguration Die Konfiguration von Hardwarekomponenten erfolgt in ChibiOS/RT im Grundsatz zweigeteilt. Es existiert zu jeder genutzten Hardwareressource 100 7.2 Softwarearchitektur Anwendung HAL HLD ADC CAN MAC PAL PWM SER SPI MAC_LLD PAL_LLD PWM_LLD SER_LLD SPI_LLD MMC/SD LLD ADC_LLD CAN_LLD Hardware Abbildung 7.2: Kapselung von Hardwarezugriffen in ChibiOS/RT (Abbildung angelehnt an [39]) stop() init() UNINIT start() start() STOP START BUSY stop() Abbildung 7.3: Generischer Zustandsautomat der ChibiOS/RT Treiber 101 7 Softwarekonzept zur Automatisierung der ECLA einen Strukturdatentyp driver; Dieser beinhaltet wiederum eine Struktur config. Beide sind im LLD definiert. So ist es möglich, plattformabhängige Eigenschaften abzulegen. In driver sind die Informationen über den aktuellen Status des Treibers abgelegt und hier wird der exklusive Zugriff auf Ressourcen verwaltet. Auf diese Informationen greift der HLD zurück. Beim Aufruf der jeweiligen start()-Prozedur wird ein Zeiger auf config in driver abgelegt. Da der Zugriff auf config nur durch den LLD erfolgt, kann der plattformabhängige Konfigurationsteil in den LLD gekapselt werden. Diese Aufteilung ermöglicht außerdem die effiziente Verwaltung von Ressourcen, die mit mehreren Peripheriegeräten verbunden sind. Die Struktur driver beinhaltet im Fall des SPI-LLD beispielsweise die generellen Informationen über einen SPI-Bus, wobei die config die expliziten Informationen zu einem über SPI angesteuerten Endgerät enthält. Synchronisierungsmechanismen Zur interprozeduralen Synchronisation und der Verwaltung von Ressourcen stehen verschiedene Mechanismen zur Verfügung, welche in ihrem Umfang durch die Konfiguration von ChibiOS/RT beeinflusst werden können. Die Synchronisationsmechanismen sind: • Mutual exclusion (Mutex): ein Konstrukt zur Verwaltung des gegenseitigen Ausschlusses von zeitlicher Verschränkung mit Prioritätsvererbung • Semaphor: Verfahren zur Nutzungsverwaltung von zugriffsbeschränkten Ressourcen • Ereignisse: Benachrichtigung eines Prozesses bei Auftreten eines Ereignisses, auf das sich der Prozess zuvor registriert hat • Nachrichten: Direkte Kommunikation zwischen Prozessen • Mailboxen: Asynchrone Nachrichtenwarteschlangen Unterstützte Komponenten des AT91SAM7 Die Hauptentwicklungsplattform von ChibiOS/RT ist der Chip STM32F1 (ARM-Cortex M3-Architektur). Für den im Rahmen dieser Arbeit eingesetzten AT91SAM7 sind nicht alle Treiber vollständig implementiert. Die verfügbaren Low-Level-Treiber sind (vgl. Abbildung 7.2): • Direkte digitale Eingang-/Ausgangszugriffe (IO Ports Abstraction Layer (PAL)) • Teilweise Implementierung externer Interrupts (EXT) [Göbe(2010)] • Media Access Control (MAC) für eine Netzwerkschnittstelle • Serial Peripheral Interface (SPI), jedoch ohne direkten Speicherzugriff (DMA) 102 7.2 Softwarearchitektur • Generischer MMC/SD-Karten Treiber, der SPI nutzt • Generischer Treiber zur seriellen Kommunikation, jedoch ohne DMA Die existenten Implementierungen stellen eine Basisfunktionalität sicher [Jongdee(2010)]. Aufgrund der an die Software gestellten Anforderungen aus Abschnitt 7.1 wurden weitere Treiber angepasst bzw. implementiert. Diese umfassen: • CAN-Treiber [Schüßler(2013)] • Treiber für den Analog-Digital-Umsetzer (ADU) [Sehl(2012), Obster(2011)] – Den internen ADU des AT91SAM7 – Einen über SPI angebundenen externen ADU-Chip • Treiber für den externen über SPI angebundenen Digital-Analog-Umsetzer (DAU) [Sehl(2012)] • Universal Asynchronous Receiver Transmitter (UART) Treiber für die serielle Schnittstelle mit Hardwareflowcontrol-Unterstützung. Dies ist nur möglich bei Nutzung des DMA-Moduls des AT91SAM7 [Göbe(2010)] • SPI-Treiber mit DMA-Unterstützung [Obster(2011)] • Generischer DMA-Metatreiber zur Kapselung der DMA-Zugriffe [Sehl(2012)] Die benötigten Treiber sowie die im Weiteren aufgeführten Softwarekomponenten wurden im Rahmen dieser Arbeit bzw. dem Projekt SmartECLA konzipiert und implementiert. 7.2.2 PAM Ein Servicemodul wurde implementiert, das die wiederkehrenden, auf allen Knoten benötigten Funktionen beinhaltet. Dies umfasst: • Spezifikation des Protokolls und Funktionen zur Kommunikation über den CAN-Bus • Treiber für ein FAT-Dateisystem auf MMC/SD-Speicherkarten • Ansteuerung der Benutzerschnittstellen: – LCD – 7 Segment-Anzeige – LEDs – Taster • Zeitmanagement im Netzwerk [Obster(2011)] • Datenmanagement auf einem einzelnen Knoten [Becker(2012), Göbe(2010)] • Integration für aus Simulink generierte Anwendungsprogramme [Göbe(2010)] 103 7 Softwarekonzept zur Automatisierung der ECLA Start CAN - ID Länge Nutzdaten CRC ACK Ende Pause 1 Bit 32 Bit 6 Bit {0 … 8} Byte 16 Bit 2 Bit 7 Bit ≥ 3 Bit Abbildung 7.4: Schematischer Aufbau einer CAN-Nachricht im Extended Frame Format (Abbildung angelehnt an [Obster(2011)]) 7.2.3 CAN-Protokoll Der CAN-Bus ist ein asynchroner, serieller Feldbus, der in einer Linientopologie betrieben wird. Dadurch werden alle übertragenen Nachrichten allen mit dem Bus verbundenen Knoten zugestellt. CAN wurde unter Federführung der Firma Bosch für den Einsatz in der Automobilbranche entwickelt, hat jedoch auch in verschiedenen anderen Domänen Anwendung gefunden. Es sind Datenraten zwischen 125 kBit/s und 1 MBit/s vorgesehen. Abbildung 7.4 zeigt den Aufbau einer CAN-Nachricht (im Extended Frame Format). Diese setzt sich, neben verschiedenen Steuerbits, aus einem Objektidentifier (ID) einer Nachricht, der 29 Bit lang ist (inkl. Steuerbits ergibt sich eine Größe von 32 Bit) und den Nutzdaten der Nachricht, die zwischen 0 Byte und 8 Byte lang sein können, zusammen. Die übertragene Nachricht wird durch eine zyklische Redundanzprüfung (CRC) validiert. Erkannte Fehler werden allen Teilnehmern signalisiert und die Sendung der Nachricht wird wiederholt. Die Arbitrierung der über einen CAN-Bus zu übertragenden Nachrichten erfolgt durch Nutzung des ID-Feldes einer Nachricht. Physikalisch wird eine logische 1 auf dem CANBus rezessiv übertragen, sodass diese durch eine 0 (dominant) eines anderen Teilnehmers auf dem Bus überschrieben werden kann. Es beginnen alle Teilnehmer zeitgleich zu senden und der Teilnehmer mit der dominantesten ID erhält schreibenden Zugriff auf den Bus. Somit genießt die niedrigste ID die höchste Priorität auf dem Bus. Im CAN-Standard sind nur die Bitübertragung und die Datensicherung (ISO/OSI-Referenzmodell Schicht 1 & 2) spezifiziert [2]. Ausgehend vom CAN-Standard existieren verschiedene Implementierungen der höheren Protokollschichten [3, 8, 139]. Keines dieser Protokolle war für intensivmedizinische Anwendungen ausgelegt, weshalb ein neues Protokoll für das Projekt SmartECLA erarbeitet wurde [Khan(2009)]. Einige der Hinderungsgründe gegenüber den vorgestellten Protokollimplementierungen sind: keine eindeutige Master-Slave-Architektur, keine Redundanz des Kommunikationskanals, die Kommunikation soll teils durch ausschließliches Aussenden von Messwerten (also ohne erweiterte Datensicherung) performant gehalten werden. Die mögliche Leitungslänge eines CAN-Busses ist beschränkt und abhängig von der genutzten Datenrate. Die Echtzeiteigenschaften einer CAN-Nachricht sind nur für Nachrichten mit der allerhöchsten Priorität (Nachrichten mit der ID 0) bestimmbar. Für alle anderen Nachrichten sind nur Aussagen fußend auf der erwarteten Auslastung möglich. Sollte ein Teilnehmer im CAN-Netzwerk zu einem willkürlichen Zeitpunkt oder mit inkorrektem Identifier versuchen, Nachrichten zu versenden (ein sogenannter Babbling 104 7.2 Softwarearchitektur Idiot), kann dies zu einer Blockade des Busses führen, sodass keine weiteren Daten übertragen werden können [24, 26, 174]. Ein auf dem CAN-Standard aufsetzendes Protokoll nutzt immer eine spezifische Einteilung der CAN-IDs (CAN-Matrix) sowie eine Systematik, in der die IDs vergeben werden. Dabei ist wichtig, dass jede ID von nur einem Knoten versandt werden darf, da nur so sichergestellt ist, dass die Arbitrierung fehlerfrei abläuft. Für die hier vorgestellte Anwendung können folgende Nachrichtenklassen identifiziert werden: • Messwerte • Stellwerte • Statusnachrichten der Netzwerkknoten • Steuerbefehle für die Netzwerkknoten • Alarmnachrichten • Nachrichten zur Zeitsynchronisation des Netzwerks • Nachrichten zum Debuggen bzw. zur Performancemessung während der Entwicklung Unter Berücksichtigung der Prioritäten der einzelnen Nachrichtenklassen, aber auch der einzelnen Sensoren, Aktuatoren und Netzwerkknotenpunkte, wurde im Rahmen des Projektes SmartECLA eine Aufteilung der IDs erarbeitet [Göbe(2010)]. CAN-Matrix Für das Projekt SmartECLA wurden CAN-Nachrichten mit dem erweiterten ID-Feld (also 29 Bit lang) bei einer Datenrate von 1 MBit/s genutzt. Die identifizierten Nachrichtenklassen und Subklassen wurden entsprechend ihrer Priorität geordnet und entsprechende ID-Bereiche vergeben. Abbildung 7.5 stellt die Struktur grafisch dar. Die höchstwertigen 5 Bit der ID (K) sind durch die Nachrichtenklasse festgelegt, gefolgt von 8 Bit für die Subklasse (S). Die verbleibenden 16 Bit werden geräte- bzw. anwendungsspezifisch vergeben, wobei bis zu 4 Bit (G) vorgesehen sind, falls mehrere Instanzen eines Gerätes im Netz unterschieden werden. Die verbleibenden 12 Bit (A) werden genutzt, um beispielsweise einzelne Mess- bzw. Stellgrößen eindeutig zu adressieren. In Tabelle 7.1 sind alle Nachrichtenklassen aufgelistet. Die mit ∗ maskierten Bereiche werden für die Subklassenspezifikation bzw. die Adressierung expliziter Größen genutzt. Die Unterteilung der gerätespezifischen Subklassen ist in Tabelle 7.2 dargestellt. Die mit # maskierten Bereiche ergeben sich aus den entsprechenden Nachrichtenklassen. Zusätzlich wird für einen Teil der Nachrichtensubklassen eine Unterscheidung zwischen mehreren Medizingeräten derselben Art unterstützt. In diesem Fall wird die fortlaufende Gerätenummer auf dem ASMO-Board mit einem Drehschalter eingestellt. Die Software passt das Feld zur Unterscheidung der Geräteinstanz (G) in der CAN-ID automatisch an. Auf diese Weise ist es z. B. möglich, mehr als einen medizinischen Monitor derselben Art im CAN-Netz einzusetzen, ohne die genutzte Struktur rearrangieren zu müssen. Bei der Übertragung von Mess- bzw. Stellwerten sowie Statusnachrichten und Steuerbefehlen wird ein 8 Byte langes Nutzdatenfeld verwendet. Abbildung 7.6 zeigt dessen 105 7 Softwarekonzept zur Automatisierung der ECLA 24 20 16 12 8 4 0 CAN-ID K KKKK SSSS SSSS GGGG AAAA AAAA AAAA Abbildung 7.5: Bitweise Strukturierung der CAN-ID (Abbildung angelehnt an [Göbe(2010)]) CAN-ID Bereich 0 x 00 00 00 ∗∗ 0 x 00 00 01 00 0 x 02 ∗∗ ∗∗ ∗∗ 0 x 05 ∗∗ ∗∗ ∗∗ 0 x 06 ∗∗ ∗∗ ∗∗ 0 x 08 ∗∗ ∗∗ ∗∗ 0 x 0A ∗∗ ∗∗ ∗∗ 0 x 0B ∗∗ ∗∗ ∗∗ 0 x 10 ∗∗ ∗∗ ∗∗ 0 x 1F FF FF FF Nachrichtenklasse Höchstpriore Nachrichtenklasse zur Performancemessung während der Softwareentwicklungsphase Nachricht zur Zeitsynchronisation Alarmnachrichten Steuerbefehle für Netzwerkknoten Steuerbefehle für Modelle auf Netzwerkknoten Stellwerte Statusnachrichten der Netzwerkknoten Statusnachrichten der Modelle auf Netzwerkknoten Messwerte Niedrigstpriore Nachricht zur Performancemessung während der Softwareentwicklungsphase Tabelle 7.1: Nachrichtenklasse zur Einteilung der CAN-IDs [Göbe(2010)] CAN-ID Bereich 0 x ## 0∗ ∗∗ ∗∗ 0 x ## 01 ∗∗ ∗∗ 0 x ## 02 ∗∗ ∗∗ 0 x ## 03 ∗∗ ∗∗ 0 x ## 04 ∗∗ ∗∗ 0 x ## 09 ∗∗ ∗∗ 0 x ## 0A ∗∗ ∗∗ 0 x ## 0B ∗∗ ∗∗ 0 x ## 0C ∗∗ ∗∗ 0 x ## 0D ∗∗ ∗∗ 0 x ## A∗ ∗∗ ∗∗ 0 x ## FE ∗∗ ∗∗ 0 x ## FF ∗∗ ∗∗ Nachrichtensubklasse Medizinisches Gerät Terumo CDI 500 Gasmischer Drucksensoren Datex Omeda AS/3 Pulsion PiCCO2 Radiometer TCM CombiM Temperatursensor Transonic HT110 Blutpumpenregelung Modelle Regelung auf der dSPACE MicroAutoBox CAN-Monitor und Sonstige Tabelle 7.2: Gerätespezifische Nachrichtensubklassen zur Einteilung der CAN-IDs [Göbe(2010)] 106 7.2 Softwarearchitektur Datenfeld Z Z Z S W W W W Abbildung 7.6: Byteweise Strukturierung des Nutzdatenfeldes einer CAN-Nachricht Aufteilung. Es sind 3 Byte für einen Zeitstempel (Z), 8 Statusbits (S) und 4 Byte für den zu übertragenden Wert (W) vorgesehen [Obster(2011)]. Unter Beachtung der vorgestellten Konvention wurde für alle im System vorkommenden Nachrichten jeweils eine ID vergeben. Die Definitionen der CAN-IDs werden als CANMatrix in einer zentralen Datei gepflegt. Auf diese Weise kann diese Information zentral verwaltet und genutzt werden. Daher werden weitere Informationen wie z. B. die Einheit oder Dimension eines Messwertes, die Priorität eines Alarms oder die Zusammenfassungen von IDs zu Klassen in dieser zentralen Datei mittels eines Annotierungssystems verwaltet. Evaluation Durch das erarbeitete CAN-Protokoll konnten alle im Aufbau verwendeten Messgeräte und Aktuatoren vernetzt werden. Der maximale zeitliche Verzug einer Zeitsynchronisations- bzw. einer ersten Alarmnachricht lässt sich, unter der Randbedingung bestimmen, dass keine Hard- oder Softwarefehler vorliegen, die den CAN-Bus betreffen. Zeitsynchronisationsnachrichten haben eine maximale Verzögerung von 0,15 ms. Die erste Alarmnachricht wird maximal 0,3 ms nach ihrer Erzeugung übertragen. Eine empirische Auswertung der Busauslastung während der Tierversuche ergab eine Last von weniger als 50 %. Die Zeitstempel der Messwerte besitzen eine Auflösung von 1 ms. 7.2.4 Zeitsynchronisation Um Messwerte - vor allem unterschiedlicher Sensoren - zueinander in Relation setzen zu können, ist unter anderem deren zeitlicher Abstand von Interesse. Dazu ist es notwendig, innerhalb des genutzten Systemaufbaus eine einheitliche Zeitbasis zu etablieren. Um dies zu ermöglichen, wurde ein CAN-Nachrichten-nutzendes Synchronisationsverfahren erarbeitet, welches sowohl eine einheitliche Zeitbasis mit einer Auflösung von 1 ms als auch eine Überprüfung der Reaktionsfähigkeit jedes einzelnen im CAN-Netz angebundenen Knoten einführt. Die dSPACE MicroAutoBox verschickt als zentrale Reglungsinstanz periodisch hochpriore Nachrichten über den CAN-Bus. Alle Knoten antworten auf diese Synchronisationsnachrichten, wodurch detektierbar ist, welche Systeme reaktionsfähig und mit dem CAN-Netz verbunden sind. Die Synchronisationsnachrichten werden mit einer Wiederkehr von 4 Sekunden verschickt. Die im CAN-Netz verschickten Nachrichten beziehen sich in ihren Zeitstempeln (vgl. Abschnitt 7.2.3 bzw. Abbildung 7.6) auf diese Zeitsynchronisationsnachrichten und geben den zeitlichen Versatz dazu, gemessen in Millisekunden, an. Unter Beachtung des maximalen zeitlichen Versatzes der Synchronisationsnachrichten im CAN-Netzwerk und einer Abschätzung des maximalen Zeitgeberfehlers der eingesetz- 107 7 Softwarekonzept zur Automatisierung der ECLA ten Hardware (von ±0,01 %) lässt sich die maximale Abweichung eines Zeitstempels abschätzen zu εt = ±2,5 ms. Durch die Zeitsynchronisation der Netzwerkknoten können CAN-Nachrichten bzw. deren Inhalt über eine Zeitspanne von 17 Minuten eindeutig zueinander in Relation gesetzt werden; danach läuft der Wertebereich des Zeitstempels über [Obster(2011)]. 7.2.5 Datenhaltung Um die Entwicklung von Anwendungsprogrammen zu vereinfachen, wurden verschiedene Module zur Verwaltung der benötigten bzw. verfügbaren Daten erarbeitet. Dies umfasst sowohl die Verarbeitung von auf einem Knoten erzeugten Daten als auch das Vorhalten bzw. zur Verfügung stellen von auf einem Knoten benötigten Daten. Darüber hinaus wurde ein Modul implementiert, das den zeitlichen Eigenschaften der Daten Rechnung trägt. Datenkapselung Im Rahmen des Predictable Appropriation Module (PAM) wurde eine strikte Datenkapselung für Nutzdaten eingeführt [125]. Die Informationen der CAN-Matrix werden genutzt, um Zugriffs- und Verwaltungsfunktionen zu erstellen [Göbe(2010)]. In einem ersten extensiven Schritt werden für alle dem System bekannten IDs vollautomatisch Abfrage- und Änderungsfunktionen sowie eine Datenstruktur generiert, welche die benötigten Informationen vorhält. Die Änderungsfunktionen umfassen unter anderem Algorithmen zur Weitergabe der erzeugten Daten an das CAN-Netzwerk oder zum Sichern auf einer Speicherkarte. Der Entwickler einer Anwendung muss gegenüber dem Datenkapselungsmodul während des Entwicklungsprozesses deklarieren, welche Daten erzeugt und welche benötigt werden. Dazu werden Direktiven des C-Präprozessors genutzt. Durch diese Deklaration ist zur Übersetzungszeit bekannt, welche Daten benötigt werden. Daher ist es möglich, ausschließlich die benötigten Teile der Datenstruktur bzw. Abfrage- und Änderungsfunktionen bei der Übersetzung in Maschinencode zu berücksichtigen [SGW+ 11]. Dieser bedarfsadaptierte Maschinencode verringert sowohl den Programm- als auch den Datenspeicherverbrauch und macht die Anwendung prädizierbar. Die maximale Laufzeit und der Speicherverbrauch können statisch bestimmt werden. Abbildung 7.7 verdeutlicht die etablierte Datenkapselung. Die Anwendungen A1 bis A3 deklarieren die benötigten Daten. Ausgehend von diesen Informationen ist es möglich das Datum D4 aus der Datenhaltung für diesen Knoten zu entfernen. Durch die Kapselung greifen die Anwendungen auf die benötigten Daten zu. Ein neu erzeugtes Datum wird über die entsprechenden Kanäle (CAN, Speicherkarte, interne Datenstruktur) verbreitet. Ein benötigtes Datum wird über CAN bzw. die interne Datenstruktur vorgehalten und den Anwendungen zur Verfügung gestellt. Weiterhin können die zu verarbeitenden CAN-Nachrichten auf Hardwareebene aufgrund der Architektur des CAN-Transceivers im Mikrocontroller gefiltert werden [Göbe(2010)]. 108 A1 D1 A2 D2 D3 A3 D4 D5 D6 Kapselung 7.2 Softwarearchitektur Datenverwaltung Betriebssystem Abbildung 7.7: Bereitstellung von Softwarestrukturen zur Datenhaltung (Abbildung entnommen aus [SGW+ 11]) Da zur Übersetzungszeit bekannt ist, welche Daten über CAN empfangen werden müssen, kann eine entsprechende Filtermaske generiert werden, sodass ein geringerer Rechenaufwand für die Datenhaltung durch einen reduzierten Umfang der über CAN empfangenen und somit zu verarbeitenden Daten entsteht. Temporale Datenhaltung Verschiedene der in Kapitel 5 vorgestellten Maßnahmen basieren auf bzw. benötigen Informationen zur zeitlichen Relation von Messwerten zueinander oder dem zeitlichen Verlauf innerhalb einer Messreihe. Um diese Anforderungen zu unterstützen, wurde eine temporale Datenhaltung eingeführt. Neben dem direkten Bereitstellen von Altersinformationen eines Datums erlaubt dies die Implementierung von altersklassenabhängigen Modellen und vereinfacht die Anwendung von auswertenden Operationen auf Zeitreihen. Viele der vorgestellten Sicherheitsmodelle sind in dieser Form nur bei aktuellen Messwerten korrekt anwendbar. Die Einführung von Zeitklassen für Messwerte erlaubt es dem Entwickler, für ein Sicherheitsmodell unterschiedliches Verhalten, abhängig vom Alter der Messwerte zu implementieren. Dadurch ist es möglich die Sicherheitsreserven abhängig vom Alter der Messwerte zu erhöhen. Darüber hinaus kann ein Rückfallmodus für den Ausfall eines Sensors hinterlegt werden. Mithilfe von Präprozessordirektiven definiert der Entwickler die Zuordnung der einzelnen Daten zu Zeitklassen. Die entsprechenden Funktionen werden messwert- aber auch modellspezifisch ausgeführt. Daher wird das Vorhalten von Zeitklassen nur für die benötigten Messwerte in Code abgebildet. Zusätzlich können verschiedene Modelle variierende Zeitklassen für denselben Messwert erzeugen. Ein weiterer Kernaspekt der temporalen Datenhaltung ist die Möglichkeit, den zeitlichen Verlauf eines Messwertes zu analysieren. Dazu wird per Präprozessordirektive festgelegt, wie viele Messwerte bzw. mit welchem Abstand diese zueinander festgehalten werden sollen. Analog zu den zuvor eingeführten Abfragefunktionen kann auf die Zeitreihen zugegriffen werden; dabei ist eine Extremwertüberwachung vorimplementiert. Die Implementierung der Zeitreihenspeicher nutzt Ringspeicher, deren Zugriff durch Semaphore geschützt ist. 109 7 Softwarekonzept zur Automatisierung der ECLA Dies stellt eine geringe Belastung des Systems bei Ausschluss von Schreib-Lese-Konflikten sicher. Die statische Architektur der Datenhaltung erlaubt eine Analyse des Speicherbedarfs zur Übersetzungszeit, was eine exakte Planung des zur Verfügung stehenden und benötigten Speichers ermöglicht. Auf diese Weise können Pufferüberläufe vermieden werden, die durch eine unzureichende Menge an freiem Datenspeicher hervorgerufen werden [Becker(2012)]. 7.3 Anwendungsentwicklung Wie in der Anforderungsanalyse identifiziert, sollte der Anwendungsentwickler durch die Integrierbarkeit sowohl von prozeduraler Programmierung als auch grafisch modellierten, hierarchischen Algorithmen unterstützt werden. Das genutzte Betriebssystem ChibiOS/RT und die zuvor vorgestellten Module sind in der Programmiersprache C implementiert. Daher ist es ohne weitere Anpassungen möglich, Anwendungen direkt in C zu implementieren. Zur Nutzung der schon eingeführten Datenhaltung müssen lediglich die entsprechenden C-Präprozessordirektiven gesetzt werden. Um ein effizientes Modellieren komplexer physikalischer und regelungstechnischer Zusammenhänge zu ermöglichen, wurde zusätzlich eine Einbettungsumgebung für SimulinkModelle geschaffen. 7.3.1 MATLAB/Simulink Aus der Modellierungsumgebung Simulink kann mithilfe der Erweiterung Embedded Coder C-Code generiert werden, der für die Nutzung auf einem eingebetteten System optimiert ist [162]. Es kann dabei sowohl Code direkt für eine unterstützte Zielplattform generiert werden als auch generischer C-Code, der den modellierten Algorithmus implementiert, jedoch noch in eine umgebende Softwarearchitektur eingebunden werden muss. Der hier genutzte Mikrocontroller AT91SAM7 wird nicht direkt vom Embedded Coder unterstützt, insofern muss C-Code generiert werden, der anschließend in das gesamte Softwareframework eingebettet wird. Dies umfasst vor allem eine einmal aufzurufende Initialisierungsfunktion und eine periodisch aufzurufende Funktion, die eine Iteration des Modells berechnet. Ferner muss dafür Sorge getragen werden, dass letztere Funktion entsprechend ihrer zeitlichen Anforderungen aufgerufen wird. Das Konzept des Embedded Coder sieht vor, dass alle benötigten Parameter mittels eines Zeigers auf eine Struktur, die diese Daten als Argument enthält, übergeben werden. Die während der Modelliteration berechneten Werte werden in einer zweiten Struktur zeigerbasiert zurückgegeben. Diese Vorgehensweise hat den Nachteil, dass bei einer Änderung an einem SimulinkModell, welche den Umfang der genutzten oder erzeugten Daten verändert, auch immer die einbettende Umgebung angepasst werden muss. Um diese Problematik zu überwinden, wurden die Modelle ohne genutzte Parameter und ohne Rückgabewerte modelliert. Stattdessen wurden spezielle Simulink-Blöcke entwickelt, die entweder ein gewünschtes Datum vorhalten oder entgegennehmen. Diese greifen intern auf die in Abschnitt 7.2.5 vorgestellten Abfrage- und Änderungsfunktionen zurück. 110 7.3 Anwendungsentwicklung CDI_VCO2 AS3_PD_BASIC_CARDIAC_OUTPUT BLOOD_FLOW_AVERAGE -CalphaO2 CDI_ACO2 SO2 Temp pO2 pH pCO2 Reverse O2 Saturation CDI_VPH cacheData CDI_APH -CAS3_PD_BASIC_TEMP1 AS3_PD_BASIC_SVO2 CDI_HCT pO2 Temp SO2 pH pCO2 arterial O2 Saturation CDI_AO2 ID_Delta sendCan CDI_VO2 pO2 Temp SO2 pH pCO2 Venous O2 Saturation storeOnCard Abbildung 7.8: Implementierung des in Kapitel 5.1.2 vorgestellten Modells zur Sauerstoffmessungsvalidierung in MATLAB/Simulink (Abbildung entnommen aus [SGW+ 11]) Abbildung 7.8 zeigt die beispielhafte Umsetzung des in Kapitel 5.1.2 vorgestellten Modells zur Berechnung der Abweichung innerhalb der Online-Blutsauerstoffmessungen. Das Simulink-Modell hat keine expliziten Ein- oder Ausgänge. Die blau eingefärbten Boxen nutzen die Abfragefunktionen des Datenhaltungsmoduls. Die orangefarbenen Blöcke beinhalten Konstanten, die gelben Blöcke Submodelle zur Berechnung der Sauerstoffkonzentration. Die grünen Blöcke geben die errechneten Werte mithilfe der Änderungsfunktionen des Datenhaltungsmoduls zurück an die einbettende Umgebung. Der Zugriff der Simulink-Modelle auf die Abfrage- und Änderungsfunktionen im CCode des Datenhaltungsmoduls wird durch sogenannte S-Funktionen realisiert. Dies sind MATLAB-interne Einbettungsfunktionen, welche die Verwendung von C-Code innerhalb von Simulink ermöglichen. In diesem speziellen Fall agieren die S-Funktionen nur als Deklaration bzw. Platzhalter, sodass der vom Embedded Coder erzeugte Code die korrekten Funktionsaufrufe nutzt. Zusätzlich zu den S-Funktionen werden zur Erzeugung von C-Code noch sogenannte Target Language Compiler (TLC)-Skripte benötigt, die Rahmeninformationen über die S-Funktionen beinhalten. Der in Abschnitt 7.2.5 vorgestellte Codegenerator erstellt neben den Datenhaltungsstrukturen und Abfrage- bzw. Änderungsfunktionen die benötigten S-Funktionen und TLC-Skripte [Göbe(2010)]. Diese Generierung ist in Abbildung 7.9 schematisch abgebildet. Ausgehend von der zentralen CAN-Matrix und Vorlagen für die S-Funktionen, TLC-Skripte, Abfrage- bzw. Änderungsfunktionen und die temporale Datenhaltung wird für jedes im System vorgesehene Datum eine Abfrage- bzw. Änderungsmethode mit zugehöriger S-Funktion und TLC-Skript generiert. Zusätzlich werden eine zentrale Struktur zur Datenhaltung und die Berechnungsvorschrift einer Filtermaske für die benötigten CAN-Nachrichten vorbereitet. Durch diese Maßnahmen kann der Entwickler eines Anwendungsprogramms in einem Simulink-Modell auf die vorbereiteten S-Funktionen zur Datenverwaltung zurückgreifen [Göbe(2010)]. Mithilfe der TLC-Skripte werden die benötigten Präprozessordirektiven 111 7 Softwarekonzept zur Automatisierung der ECLA S-Funktionen TLC Abfragemethoden SSt t t S TTt t t T AAt t t A Änderungsmethoden CAN_ID_... ⁞ S Vorlagen ÄÄt t t Ä Codegenerator T CAN Filtermaske A Ä t Struktur zur Datenhaltung Abbildung 7.9: Schematischer Ablauf der Generierung des Datenhaltungsmoduls und der Simulink-Schnittstellen (Abbildung angelehnt an [Becker(2012), Göbe(2010)]) automatisch bei der Code-Generierung gesetzt. Der mithilfe des Embedded Coders erzeugte C-Code kann direkt in das Betriebssystem integriert werden. Es muss sichergestellt werden, dass während der Initialisierungsphase des Betriebssystems die Initialisierungsfunktion des Modells aufgerufen wird und dass die Funktion, die eine Modelliteration berechnet als Anwendung mit der gewünschten Periodizität registriert wird. Final obliegt es dem Entwickler, mithilfe statischer Analysemethoden wie der Worst-CaseExecution-Time-Analyse und einer Stack-Size-Analyse zu gewährleisten, dass die auf dem designierten Knoten zur Verfügung stehenden Kapazitäten ausreichend sind. 7.4 Eigenschaften des Softwareframeworks Durch die zuvor eingeführten Maßnahmen wird der Entwicklungsprozess von Sicherheitsund Regelungsanwendungen für die eingebetteten ASMO-Knoten unterstützt. Es resultieren eine Werkzeugkette und ein Softwarerahmen, die den Entwickler von verschiedenen Aufgaben entlasten und die erzielten Eigenschaften des finalen Maschinencodes prädizierbar machen. 7.4.1 Entwicklungsablauf Abbildung 7.10 stellt den Ablauf der Anwendungsentwicklung für die geschaffene Plattform dar. Alle schwarz hinterlegten Blöcke sind Mechanismen, die voll- bzw. halb auto- 112 7.4 Eigenschaften des Softwareframeworks Generierung der Datenhaltung Zugriffsfunktionen S-Funktionen Modellierung in TLCSkripte Simulink Implementierung der Algorithmen Allgemeine Simulink-Modell Datenhaltung Embedded Coder C-Code C-Code Registrieren der (Simulink)-Modelle C-Präprozessor Knotenspezifischer Code (maßgeschneiderte Datenhaltung) Compiler Maschinen-Code Abbildung 7.10: Etablierter Ablauf zur Entwicklung von Anwendungen für die Netzwerkknoten (Abbildung entnommen aus [SGW+ 11]) matisch ablaufen. Die blauen Blöcke repräsentieren Schritte, die ein Entwickler manuell vollziehen muss. Allen Bemühungen voran steht die Generierung des vollständigen Datenhaltungsmoduls basierend auf der zentralen CAN-ID-Definition. Dieser Vorgang ist nur zu wiederholen, falls diese verändert wird. Durch die generierten Zugriffs- und S-Funktionen können Anwendungen als C-Code oder als MATLAB/Simulink-Modell entwickelt werden. Bei der Erstellung von C-Code ist darauf zu achten, dem System gegenüber die benötigten Daten per Präprozessor-Direktive zu deklarieren. Im Fall eines Simulink-Modells wird dieses mithilfe des Embedded Coders und den ebenfalls generierten TLC-Skripten zu C-Code übersetzt. Die TLC-Skripte sorgen zusätzlich für das Setzen der notwendigen Präprozessordirektiven, sodass die benötigen Daten gegenüber dem System automatisch deklariert werden. In beiden Fällen muss der Anwender durch Registrieren der erzeugten Funktion als Betriebssystemanwendung seine Algorithmen in das Softwareframework integrieren. Unter Zuhilfenahme des Präprozessors wird ausgehend von den deklarierten Direktiven die vollständige Datenhaltung auf die benötigten Daten reduziert. Der resultierende, stark reduzierte Code wird anschließend durch den Compiler in Maschinen-Code der Zielplattform übersetzt. 113 7 Softwarekonzept zur Automatisierung der ECLA User Anwendungen Anwendung (C-Code) Anwendung (C-Code) Anwendung (Simulink) Anwendung (Simulink) Simulink Wrapper Scheduler Speicherverwaltung Datenhaltung PAM Kernel Zeitsynchronisation Synchronisation HLD HAL LLD Hardware Abbildung 7.11: Schematische Übersicht der etablierten Softwarearchitektur 7.4.2 Erzielte Softwarearchitektur Die durch die beschriebenen Erweiterungen erzielte eingebettete Softwarearchitektur ist in Abbildung 7.11 dargestellt. Das schon existente ChibiOS/RT wurde um die ausstehenden High- und Low-Level-Treiber erweitert (vgl. Abbildung 7.1). Es wurde ein neues Modul entwickelt, das die temporale Synchronisation der einzelnen Knoten im CANNetz sicherstellt und die von den Anwendungen benötigten Daten sowohl in Bezug auf ihren Wert als auch auf temporale Eigenschaften bereitstellt. Durch die Integration der MATLAB/Simulink-Toolbox Embedded Coder ist die Anwendungsentwicklung sowohl in Form von C-Code als auch in Simulink-Modellen möglich. 7.4.3 Planbarkeit Die entwickelte Softwarearchitektur ist vollständig statisch: die Datenstrukturen werden zur Übersetzungszeit statisch erzeugt, der Programmcode greift nicht auf dynamische Bibliotheken zurück und ist daher ebenfalls zur Übersetzungszeit vollständig bekannt. Dies vereinfacht die Anwendung von formalen Methoden der Softwareverifikation. Auf diese Weise ist es möglich, Aussagen über den Speicherverbrauch einer Anwendung oder die maximal benötigte Rechenzeit zu treffen. Nur so kann die Verteilung der zu etablierenden Methoden auf den zur Verfügung stehenden Knoten effizient geplant werden. 114 7.4 Eigenschaften des Softwareframeworks Durch die strikte Hardwareabstraktion der Architektur und der etablierten Datenhaltung stehen sämtliche benötigten Daten an allen Knoten zur Verfügung, sodass eine Entkopplung der Berechnungen realisierbar ist [Göbe(2010)]. Im Grundsatz kann ein Algorithmus zwischen den Knoten frei verschoben werden. Einzig die Methoden, die mit angeschlossener Hardware in Interaktion treten, müssen auf dem entsprechend verbunden Knoten abgelegt werden. 115 8 Zusammenfassung In dieser Arbeit wurde ein Sicherheitskonzept für die extrakorporale Lungenunterstützung (ECLA) vorgestellt. Dazu wurden zunächst der Systemaufbau der ECLA analysiert und davon ausgehend Sicherheitsziele definiert bzw. mögliche zu behandelnde Fehlerfälle bzw. Risiken identifiziert. Darauf eingehend wurden verschiedene Sicherheitsmaßnahmen erarbeitet, welche die im System angewandten Mess- und Stellwerte validieren bzw. überwachen und den Zustand ausgewählter Systemkomponenten observieren. Zusätzlich wurde eine Hard- und Softwareplattform entwickelt, die es ermöglicht, diese Maßnahmen effizient und planbar abzubilden. Ausgehend von der Definition von 7 Sicherheitszielen für die ECLA-Therapie wurde das System mithilfe einer FMEA und einer FTA analysiert. Durch diese Analysen konnten die im System existierenden Risiken identifiziert und quantisiert werden, sowie Einzelereignisse erkannt werden, die zur Verletzung eines der Sicherheitsziele führen. Die Sauerstoffsättigungs- und Sauerstoffpartialdruck-Messwerte sind eine tragende Säule des Regelungskonzeptes. Diese werden durch eine virtuelle Bilanzierung der Stoffmengenkonzentration im bzw. hinter dem Herzen validiert. Der extrakorporale Blutfluss wird durch technisch-physiologisch motivierte Schranken eingegrenzt. Zur Überwachung der Gasvolumenstromstellwerte durch den Oxygenator wurde ein Modell zur Prädiktion des Verhältnisses der relevanten Gas- und Blutdrücke entwickelt. Mithilfe dieses Modells ist es möglich, das Verhältnis von Gas- zu Blutvolumenstrom durch den Oxygenator dynamisch zu begrenzen. Dies vergrößert den möglichen Arbeitsbereich der Regelung. Über die Absicherung der Mess- und Stellwerte hinaus wurden Modelle zur diskreten und kontinuierlichen Diagnose weiterer Systemkomponenten erarbeitet. Es wurde eine Modellbildung vorgestellt, welche die Abnutzung der Oxygenatormembran mithilfe eines Drei-Kompartimenten-Modells überwacht. Durch dieses Modell sind Aussagen über die mit dem Oxygenator noch zu erreichenden Transferraten möglich. Dies erhöht die Zuverlässigkeit des Systems bzw. die Planbarkeit der ECLA-Therapie. Ein Modell der eingesetzten Diagonalblutpumpe wurde so ausgearbeitet und parametriert, dass diskrete Ereignisse, wie Gas in der Blutphase oder das Ansaugen der Entnahmekanüle detektiert werden können. Darüber hinaus konnte gezeigt werden, dass Messfehler wie der Ausfall eines Druckmesskanals zu einer größer werdenden Modellabweichung führen. Diese können nach ca. 15 Minuten valide detektiert werden. Das Ansaugen des Entnahmegefäßes an die Entnahmekanüle kann modellbasiert ca. 60 − 90 Sekunden vor dem eigentlichen Ansaugen der Kanüle detektiert werden, sodass ein erweiterter Spielraum für Gegenmaßnahmen bleibt. Als letzte Maßnahme im Kanon der modellbasierten Diagnose wurde eine Messung der Rezirkulation unter Nutzung der schon im System existierenden Sensoren des Online-Blutgasanalysators vorgestellt. 117 8 Zusammenfassung Durch die eingeführten Maßnahmen konnten verschiedene der zuvor identifizierten Fehlerfälle bzw. Risiken unterbunden werden. Zur Umsetzung wurde eine Hardwareplattform (ASMO-Boards) etabliert, welche durch ihre modulare Bauweise auf den designierten Einsatzort optimal angepasst oder bei Vollbestückung universell eingesetzt werden kann. Durch eine Erweiterungsschnittstelle konnten für verschiedene Anwendungsfälle effizient Module entwickelt werden, welche die benötigten Messwerte erfassen können und direkt in das System integriert werden können. Ausgehend von den ASMO-Boards wurde eine Pumpenkonsole zur Ansteuerung der im System eingesetzten Diagonalblutpumpe entwickelt. Durch die Anbindung des Blutflusssensors war es möglich, eine Blutflussregelung direkt auf der Konsole zu implementieren. Somit kann diese Systemkomponente auch als eigenständige Einheit genutzt werden. Um die erarbeiteten Modelle, Regelungen, Überwachungsalgorithmen und Übersetzungslogiken auf die ASMO-Boards einzubetten, wurde basierend auf einem Echtzeitbetriebssystem eine strikt statische Schichten- bzw. Modularchitektur eingeführt. Nach der Implementierung einer durchgängigen Hardwareabstraktion für alle Komponenten des ASMO-Boards wurde ein Modul entwickelt, welches das effiziente Implementieren von Anwendungen im dezentralen Netzwerk aus ASMO-Knoten im Systemaufbau ermöglicht. Durch Synchronisationsmechanismen wurde eine einheitliche Zeitbasis auf allen Knoten eingeführt, sodass die unterschiedlichen Mess- und Stellwerte sowie Steuernachrichten zueinander in eine zeitliche Relation gesetzt werden können. Es wurde ein CAN-Protokoll für das System definiert, das es jedem Knoten ermöglicht, alle für ihn relevanten Daten vorzuhalten und dennoch eine Priorisierung der zu übertragenden Nachrichten durchführt. Zur Datenhaltung wurde zum einen eine Kapselungsschicht implementiert, die eine auf die Bedürfnisse der Anwendungen optimierte Datenhaltung ermöglicht. Zum anderen wurde eine temporale Komponente der Datenhaltung eingeführt. Hiermit können Zeitreihen von Messwerten durch das System bereitgestellt werden, aber auch zeitliche Analysen und Extremwertbetrachtungen effizient ermöglicht werden. Der Entwicklungsprozess einer Anwendung wird sowohl direkt in C-Code als auch in der Modellierungsumgebung MATLAB/Simulink unterstützt. Dadurch hat der Entwickler einer Anwendung die Freiheit, komplexe Modelle grafisch in einer hierarchischen Struktur zu verwalten, aber auch ohne zusätzliche Werkzeuge direkt imperativ zu implementieren. Durch die eingeführte, strikt statische Architektur kann sowohl der Speicherverbrauch einer Anwendung als auch die maximale Ausführungszeit schon während der Übersetzungszeit abgeschätzt werden. Dies ermöglicht eine verlässliche Ressourcenplanung und ein effizientes Verteilen der auszuführenden Anwendungen auf dem vorgestellten Netzwerk aus ASMO-Boards. Die durchgeführten Arbeiten sind im Kontext des Projektes SmartECLA entstanden. Anhand dieses Projektes wurde gezeigt, dass es möglich ist, die patientenorientiert geregelte extrakorporale Lungenunterstützung als Behandlungsform von besonders schweren Formen des ARDS zu etablieren. Sowohl die Integration der genutzten ECLAKomponenten als auch der sichere und zuverlässige Betrieb des cyber-phsyikalischen Systems aus vernetzten, medizintechnischen Geräten wird erst durch die vorgestellten Maßnahmen ermöglicht. 118 9 Ausblick Die für das ECLA-System identifizierten Sicherheitsziele können in direkte und indirekte Konkurrenzsituationen treten. So muss z. B. bei einer Beschädigung des Schlauchsystems abgewogen werden, ob das System angehalten wird, damit kein Blutverlust auftritt oder der extrakorporale Blutfluss aufrechterhalten wird und ein Blutverlust akzeptiert wird. Ein Teil dieser Konkurrenzsituationen ließe sich durch redundante Auslegung der Systemkomponenten abfangen. Dies würde die Komplexität und die Kosten des Systems erhöhen, was zu einer verringerten Akzeptanz seitens der Anwender führen würde. Für einen Teil dieser Konkurrenzsituationen lässt sich a-priori festlegen, welche Vorgehensweise die zu Wählende ist. Dies kann unter Umständen von anderen Randbedingungen abhängig sein. Im oben erläuterten Beispiel würde die Entscheidung vom physiologischen Zustand des Patienten und dem Ausmaß der Beschädigung des Schlauches abhängen. In zukünftigen Arbeiten sollte diese Fragestellung adressiert werden. Die in dieser Arbeit entwickelten Sicherheitsmaßnahmen können verschiedene Fehlerfälle bzw. -ereignisse erkennen. Dies führt aktuell zu entsprechenden Meldungen an das die ECLA anwendende Personal. Zur Verbesserung der Leistungsfähigkeit des Systems sollte eine Interaktionsstrategie entwickelt werden, um die aus dem Sicherheitskonzept gewonnenen Erkenntnisse in eine Adaption der Regelung einfließen zu lassen. Einfache Methoden wie die Stellwertbeschränkung und das Pausieren des Integralanteils einer Regelung konnten eingeführt werden. Es wären jedoch weiterführende Strukturen wie eine sich rekonfigurierende Regelung oder Transitionen zwischen den jeweils optimalen Regelungsstrategien wünschenswert. Für einen Teil der entwickelten Modelle konnte nur die generelle Anwendbarkeit gezeigt werden. Jedoch war keine Aussage über die Spezifität oder Sensitivität möglich. Dieser Einschnitt könnte durch verbesserte Parametrierungen, ausgehend von ausgedehnteren Messreihen, überwunden werden. Es kann angenommen werden, dass das Ansaugen der Entnahmekanüle spezifisch zwischen 60 − 90 Sekunden vor Zusammenbruch des extrakorporalen Flusses detektierbar ist. Darauf basierend wäre das frühzeitige und automatisierte Einleiten von Gegenmaßnahmen möglich. Die existente Instrumentierung nutzend könnte ein Algorithmus entwickelt werden, der eine Aussage über den Grad der Rezirkulation innerhalb einer ECLA ermöglicht. Auf diese Weise könnten unnötige zusätzliche Belastungen, durch Repositionierungen der Kanülen, für den Patienten auf das benötigte Maß reduziert werden. Die aktuelle Modellbildung für die Abnutzung des Oxygenators fußt auf Polypropylen (PP)-Hohlfasermembranen. Aktuelle Oxygenatorgenerationen nutzen Polymethylpenten (PMP)-Membranen, welche sich langsamer abnutzen. Für diese neue Art der Membran müsste das entwickelte Modell neu parametriert werden. Zusätzlich sollte in diesem Zusammenhang das zeitliche Abnutzungsverhalten der Membran untersucht werden. 119 9 Ausblick Erste Auswertungen lassen erwarten, dass die Abnutzung durch einen linearen Prozess angenähert werden kann. Da jedoch keine Langzeitversuche durchgeführt wurden, gibt es keine ausreichende Wissensbasis, um eine fundierte Aussage zu treffen. Die im Rahmen dieser Arbeit vorgestellten Hard- und Software-Architekturmuster zeigen Potenzial, auch auf andere Problemstellungen der Intensivmedizin angewendet werden zu können. Hier wären verschiedene Anwendungsfelder denkbar. Die vorgestellten zentralen Gedanken müssten sich in weiten Teilen z. B. auf Herzunterstützungssysteme übertragen lassen. Basierend auf den Erkenntnissen der Wiederverwertbarkeit sollten sich formale Entwurfsmuster bzw. -regeln definieren lassen, die eine allgemeine Anwendbarkeit ermöglichen und so helfen, den Entwicklungsprozess von intensivmedizinischen Anwendungen nachhaltig zu verbessern. 120 A Anhang A.1 Algorithmische Berechnung des Sauerstoffpartialdrucks aus der -sättigung Die in den Algorithmen genutzte Gleichung zur Beschreibung der Sauerstoffsättigung in Blut SO2 nach Kelmann [79] (vgl. Gleichung (2.9)) ist nicht geschlossen umkehrbar. Daher wurde teilweise auf den Knoten das iterative Newton-Verfahren genutzt um den Partialdruck aus einer Sättigung zu berechnen. Diese Umrechnung wurde für die Sauerstoffmesswertvalidierung, wie sie in Abschnitt 5.1.2 beschrieben wurde, benötigt. In den Auswertungsalgorithmen wurde zum Erhalt der Paralelisierbarkeit (in MATLAB) der Algorithmen eine Umkehrfunktion in Anlehnung an die Beschreibung der Sauerstoffbindung nach Hill [66] um die in der Formel nach Kelmann berücksichtigten Einflussfaktoren erweitert. Ausgehend von der Beschreibung der Sauerstoffbindung nach Hill: SO2 = n H pO2 pO2 ,50% nH pO 1+ 2 , mit pO2 ,50% nH = 2,7 und pO2 ,50% = 26,8 mmHg wurde die Umkehrfunktion errechnet zu: pO2 = pO2 ,50% · e 1 ·log nH SO2 2 −1 − SO . Diese Funktion wurde in Anlehnung an Gleichung (2.9) so erweitert, dass der Einfluss der Faktoren Temperatur T , pH-Wert pH und Kohlenstoffdioxidpartialdruck pCO2 berücksichtigt wurde: pO2 = pO2 ,50% · 10 2,072−0,4·pH+0,024·T −0,06 log 40 pCO2 ·e 1 ·log nH SO2 2 −1 − SO . 121 A Anhang A.2 Systemaufbau In diesem Kapitel werden zu einigen der in Kapitel 3.5 eingeführten Systemkomponenten weiterführende technische Details dargestellt. A.2.1 Sensoren Terumo CDI 500 Die beiden eingesetzten Sensoren (Shunt-Sensor) sind baugleich und werden vor und nach dem Oxygenator eingesetzt. Da diese Sensoren einen LuerLock-Konnektor nutzen, die Entnahmeleitung jedoch einen Durchmesser von 38 Zoll besitzt, werden die Shunt-Sensoren in einem Bypass platziert. Um den laut Hersteller erforderlichen Mindestdurchfluss von 35 ml/min sicher zu stellen, werden diese Sensoren aktiv von einer kleinen Blutpumpe durchströmt. In [173] wurde identifiziert, dass sich die Zeitkonstante und die Totzeit der Messung antiproportional zum Blutvolumenstrom durch die Sensoren erhält. Daher wurde während der Tierversuche ein Volumenstrom von 150 ml/min durch die Sensoren eingestellt. Basierend auf den Messwerten errechnet das Gerät weitere Werte wie die Sauerstoffsättigung nach dem Oxygenator oder die Bicarbonatkonzentration. Das Gerät verfügt über zwei RS-232 Schnittstellen, über die externe Signale einer genutzten Blutpumpe an das System übertragen und die erzeugten Messwerte ausgelesen werden können. Das kleinste Ausgabeintervall beträgt hierbei 6 s. Eine ausführliche Analyse und Modellbildung dieses Sensors wurde in [173] vorgenommen. Datex-Ohmeda AS/3-Monitor Alle vom AS/3 erhobenen Daten können mithilfe der seriellen Schnittstelle ausgelesen werden. Die Messwerte können in einem Intervall von 5 s oder länger, ausgelesen werden. Diese Messwerte umfassen teilweise zusätzliche Interpretationen bzw. Auswertungen der Rohdaten, wie Minimum, Maximum oder Mittelwerte aus dem Auswertungsfenster. Darüber hinaus können in Summe 600 Messwerte/s als Rohdaten ausgegeben werden. Das Kommunikationsprotokoll mit dem AS/3 umfasst ein Handshake zu Beginn der Kommunikation. Die physikalische Implementierung des Kommunikationskanals nutzt Hardware-Flusskontrolle. Daher ist die eigentliche Messdatenübertragung unidirektional ausgelegt. Zusätzlich ist der im Folgenden behandelte Herzzeitmonitor Vigilence der Firma Edwards durch ein Adaptermodul ins System eingebunden. Dieser liefert zusätzlich die Signale: Herzzeitvolumen (HZV), intrakardiale Bluttemperatur, Pulmonalarterienverschlussdruck (PCWP) und zentralvenöse Sauerstoffsättigung (Sv O2 ). Edwards Lifesciences Vigilance Monitor Zur Messung ist eine initiale Kalibrierung basierend auf einer Blutgasanalyse (BGA) notwendig. Diese wird nach mehreren Stunden Betriebszeit wiederholt, um einen möglichen Drift der Messwerte zu verhindern. Die Messung des HZV erfolgt nach dem Thermodilutionsverfahren. Durch eine Heizwendel am Swan-Ganz-Katheter (SGK) wird eine definierte Wärmemenge ins Blut abgegeben. Im weiteren Verlauf des Katheters erfasst ein Temperatursensor den Temperaturverlauf des vorbei strömenden Blutes und somit die Auswirkungen der eingebrachten Wärmeenergie. 122 A.2 Systemaufbau Daraus lässt sich das HZV errechnen. Zur Messung des PCWP besitzt der SGK an seinem Ende einen aufblasbaren Ballon. Dadurch wird die Pulmonalarterie kurzzeitig verschlossen. Der sich im Stamm der Arteria pulmonalis einstellende Druck wird als Verschlussdruck des Herzenz bzw. PCWP bezeichnet. Diese Messung muss manuell durch das behandelnde Personal angestoßen werden. Pulsion PiCCO2 Der Katheter wurde nur bei einem Teil der Versuche eingesetzt, da die gewonnenen Daten redundant zu den Daten des Vigilience sind. Zur HZV-Messung ist ein manueller Nutzereingriff (Injektion eines Bolus gekühlter Kochsalz oder Glukoselösung) notwendig. Das Gerät besitzt eine serielle Schnittstelle. Die Messdaten werden in Paketen versandt. Die Periodizität der Übertragung der Messwerte variiert zwischen 20 ms und 400 ms, abhängig vom Messwert. Die plethysmographisch gemessene Sättigung wird dabei alle 400 ms übertragen. Radiometer TCM CombiM Der transkutane Blutgasmonitor TCM Combi M der Firma Radiometer misst den peripheren Partialdruck von Sauerstoff (pp O2 ), Kohlenstoffdioxid (pp CO2 ) sowie eine errechnete arteriell-periphere Sauerstoffsättigung Sp O2 und den Puls. Diese werden von einem speziellen Sensor in einem elektrochemischen Verfahren ermittelt [56]. Dieser Monitor war als Redundanz zur durch den AS/3, mittels Pulsoxymetrie ermittelten peripheren Sauerstoffsättigung angedacht. Da die äußere Regelung maßgeblich auf diesem Wert beruht, war geplant diesen Messwert durch zwei verschiedene Verfahren redundant zu ermitteln. Die durchgeführten Tierversuche haben gezeigt, dass das Gerät nicht zur Anwendung am Versuchstier Schwein geeignet ist. Nach Abstimmung mit dem Entwickler des transkutanen Messverfahrens (Firma Radiometer, CH) wurden verschiedene Positionen zur Anbringung des Sensors getestet. Die so erzielten Beobachtungen kommen zum Schluss, dass die Schweinehaut signifikant undurchlässiger gegenüber Sauerstoff und Kohlenstoffdioxid ist als menschliche Haut. Daher wurde versucht, den Sensor subkutan direkt auf einen Muskel zu befestigen. Alle diese Versuche führten zu keinen plausiblen Messergebnissen. Das Gerät verfügt über eine serielle Schnittstelle, über die alle 2 s alle ermittelten Werte verschickt werden. Transonic HT 110 Das Messgerät besitzt zwei analoge Ausgänge, an denen das Flusssignal abgegriffen werden kann. Die ausgegebene Spannung liegt zwischen −6 Volt und +6 Volt, wobei 0 Volt einem Fluss von 0 l/min entspricht und die Ausgangsspannung linear bis +5 Volt ansteigt, was einem Fluss von 10 L/min entspricht. In den durchgeführten Versuchen zeigte sich zusätzlich, dass die Ausgänge direkt nach dem Einschalten des Gerätes einen Offset von bis zu 250 mV besitzen. Dieser wird über die Zeit weniger und ist nach ca. 30 Minuten vernachlässigbar. Dieses Phänomen wurde nicht genauer untersucht, da kein adäquates Referenzmessgerät bzw. keine Möglichkeit einen definierten Fluss zu erzeugen, zur Verfügung stand. Die Ausgänge sind nicht belastend messbar. 123 A Anhang A.2.2 Datenverarbeitung dSPACE MicroAutoBox Als zentrale Regelungsplattform wurde eine MicroAutoBox (1401/1501) der Firma dSPACE eingesetzt. Diese RCP-Plattform verfügt über verschiedene Schnittstellen und basiert auf einem IBM PowerPC 750FX (800 MHz). Die Firma dSPACE stellt einen Profiler zur Verfügung, mit dem es möglich ist, empirische Aussagen über die Auslastung des Prozessors zu ermitteln [42, 43]. Die direkte Anwendung von formalen Methoden ist nicht möglich. A.2.3 Aktoren Blutpumpe Diagonalpumpe Da das Pumpenrad innerhalb der Pumpe in der Regel nicht dicht schließt, kann bei stehendem Pumpenrad ein Rückfluss über der Pumpe auftreten. Durch die Dichtedifferenz zwischen Flüssigkeit und Gas können Gasblasen in geringen Mengen im Pumpenkopf aufgefangen werden. Dies hängt von weiteren Einflussfaktoren wie dem Volumenstrom durch die Pumpe ab. Es kann nicht sichergestellt werden, dass Gasblasen im Pumpenkopf festgehalten werden. Durch die Gasblase und die somit veränderte mittlere Dichte des geförderten Volumens verändert sich auch die Pumpenkennlinie. Der zur Ansteuerung des in der Pumpe eingesetzten Motors der Marke Maxon (Modell BLY20WKL1WE) wird die Drehzahlregelung Modell 4-Q-EC DECV 50/5 des Herstellers Maxon eingesetzt. Die Ansteuerung der Drehzahl erfolgt durch eine analoge Spannung. Dabei entspricht 0 Volt einer Minimaldrehzahl von 1 000 U/Min die Drehzahl steigt linear mit der Spannung an, auf eine Maximaldrehzahl von 30 000 U/Min bei +5 Volt. Gasmischer Der eingesetzte Gasmischer wurde im Rahmen einer Abschlussarbeit entwickelt [173]. Dieser besitzt drei Gaskanäle. Der Kohlenstoffdioxidkanal wurde bisher nur in Laborversuchen erprobt, in den Tierversuchen wurden nur die Sauerstoff- und Stickstoffkanäle genutzt. Jeder dieser Kanäle setzt sich intern aus einem Druckminderer mit nachgeschaltetem Massenflussregler zusammen. Die Stellwerte der Massenflussregler sind analoge Spannungen, die durch BNC-Stecker am Gerät angelegt werden. Jeder Massenflussregler misst zusätzlich den erzeugten Gasstrom. Dieser Messwert kann als analoge Spannung ebenfalls an einem BNC-Konnektor abgegriffen werden. Da ein Gasvolumenelement nach der Mischung noch durch einen Schlauch vom Gasmischer zum Oxygenator transportiert werden muss, weist diese Komponente eine Totzeit auf, die von der Länge und dem Durchmesser der genutzten Leitung sowie dem eingestellten Gasvolumenstrom abhängig ist. 124 A.3 Hardwareplattform A.3 Hardwareplattform Das im Rahmen dieser Arbeit erarbeitete ASMO-Board basiert auf einem AT91SAM7X256 Mikrocontroller der Firma Atmel der von einem Quarzoszillator mit 18,432 MHz getaktet wird. Das Board wird über einen Hohlstecker mit Gleichspannung zwischen 9 Volt und 18 Volt versorgt. Durch einen Brückengleichrichter wird eine Verpolung der Versorgungsspannung ausgeschlossen. Die Energieversorgung wird gegen induzierte, hochfrequente Störsignale durch einen Entstörfilter auf Basis von stromkompensierten Drosseln (common mode chokes) geschützt. Aus dieser Eingangsspannung werden durch Festspannungsregler jeweils eine +3,3 Volt- und eine +5 Volt-Spannungsschiene bereitgestellt. Die Versorgungsspannungsschienen sind mit Zener-Dioden-Schaltungen bei +3,9 Volt bzs. +5,6 Volt gegen eine von extern angelegte Überspannung geschützt. Der Startvorgang des Mikrocontrollers wird durch einen integrierten Schaltkreis (IC) MCP130 überwacht, der den Reset-Pin des Mikrocontrollers solange auf logisch 0 zieht, bis die +3,3 Volt-Versorgungsspannungsschiene eine Spannung von mindestens +2,925 Volt für mindestens 350 ms erreicht hat. Zum manuellen Reset befindet sich ein zusätzlicher Taster auf dem Board. Das ASMO-Board verfügt über verschiedene Schnittstellen und periphere Hardware, die je nach Bedarf modular bestückt werden kann. Auf die einzelnen Komponenten wird im Folgenden genauer eingegangen. Alle Pins des Mikrocontrollers sind auf Lötaugen geführt, sodass diese Signale effizient abgegriffen bzw. weiteren Schaltungen zugeführt werden können. CAN-Schnittstelle Zur Vernetzung besitzt das ASMO-Board eine CAN-Schnittstelle. Diese ist durch einen IC MCP 2551 (High Speed CAN Transceiver) mit dem Mikrocontroller verbunden. Der CAN-Bus kann physikalisch durch zwei RJ-45-Stecker oder Schraubklemmen verbunden werden. Dabei enthält diese Busleitung, zusätzlich zur Datenleitung, noch die +5 Volt Versorgungsspannung, die über einen Steckjumper (JP4) hinzugeschaltet werden kann. Der CAN-Bus kann durch Setzen des Steckjumpers JP5 terminiert werden. Am Lötjumper SJ1 kann zwischen High- und Standard-Datarate für den CAN-Bus ausgewählt werden. Die RJ-45 Schnittstelle wurde genutzt, da diese Verbindung einrastet, aber dennoch schnell gelöst werden kann. Zusätzlich können als Verbindungskabel gewöhnliche Netzwerkkabel dienen. Die CAN-Datenleitungen sind durch BAS 40-04 Schottky-Dioden gegen Über- bzw. Unterspannungen geschützt. Zusätzlich werden die eingehenden Signale jeweils separat durch stromkompensierte Drosseln gegen hochfrequente Störungen abgesichert. Serielle Schnittstelle Die Serielle Schnittstelle des Mikrocontrollers USART0 wird über einen Pegelwandler-IC MAX 3232 CSE mit einer 9-poligen D-Sub Buchse verbunden. Über den Jumper JP3 kann optional das Signal der Hardware-Flusskontrolle durchgeschaltet werden. 125 A Anhang Drehschalter Über einen Drehschalter mit 16 Stellungen kann jedem Board eine ID zugeteilt werden. Dadurch können bis zu 16 Instanzen eines Knoten gleichzeitig im selben Netz betrieben und unterschieden werden. JTAG-Schnittstelle Zur Programmierung des Mikrocontrollers ist eine 20-polige JTAG Schnittstelle auf einen Wannenstecker geführt. 7-Segment-Anzeigen Durch einen Treiber-IC MAX 7221 CWG können vier 7-SegmentAnzeigen über SPI angesteuert werden. Diese Anzeigen sind hauptsächlich für Debugund Statusanzeigen gedacht. Das ChipSelect des SPI-Bus wird durch das Setzen des Jumpers JP6 durchgeschaltet. Taster / LED-Benutzerschnittstelle Zur direkten Kommunikation mit dem Nutzer, wurden Anschlussmöglichkeiten für jeweils bis zu vier LEDs und vier Taster vorgesehen. Die Tasterleitungen sind jeweils mithilfe eines 100 nF Kondensators entprellt. Temperatursensor Das Board sieht vor, einen Thermistor (Bauteil TR1) zur Temperaturmessung einzusetzen. Der Thermistor ist gegen einen 100 kW Widerstand als Spannungsteiler verschaltet. Die Messleitung ist mit dem internen ADU-Kanal AD5 des Mikrocontrollers verbunden. SD/MMC-Kartenslot Zur Verbindung einer SD- bzw. MMC-Speicherkarte ist ein entsprechender Kartenslot vorgesehen. Diese Speichermedien können direkt über SPI angesteuert werden. Der Kartenslot ist mit dem SPI-Bus SPI0 des Mikrocontrollers verbunden. Analog/Digital Umsetzer Das ASMO-Board wurde um einen +5 Volt kompatiblen ADU erweitert. Dazu wird der über SPI angebundene IC AD7924 mit einer Auflösung von 12 Bit genutzt. Dieser IC besitzt 4 Messkanäle, die jeweils auf einen BNC-Konnektor herausgeführt und durch BAS40-04 Schottky-Dioden gegen Über- und Unterspannungen geschützt sind. Die benötigte Referenzspannung von +2,5 Volt wird durch einen IC ADR441 erzeugt. Die analogen Bauelemente sind gegen die restliche Schaltung mit einer dedizierten Massefläche (AGND), die über einen Ferrit verbunden ist, entkoppelt. Digital/Analog Umsetzer Ausgehend von einem IC AD7924, der via SPI mit dem Mikrocontroller verbunden ist, wurden vier DAU-Kanäle geschaffen. Die Versorgungsspannung des ICs kann wahlweise über den Lötjumper SJ2 mit +3,3 Volt oder +5 Volt verbunden werden. Die DAU-Schaltung ist analog der ADU-Schaltung an die dedizierte Massefläche (AGND) angebunden. 126 A.3 Hardwareplattform SmartECLA-Schnittstelle Zur Anbindung von externer Hardware wurde eine Schnittstelle geschaffen, die eine 15-poligen High-Density D-Sub Buchse nutzt. Dieser Stecker wurde an die etablierte VGA-Schnittstelle angelehnt, so dass diese Kabel zur Verbindung genutzt werden können. Ausgehend von der VGA Schnittstelle mussten einige der Signalleitungen ungenutzt bleiben, da diese in den Kabeln meist fest gegen Masse verschaltet sind. Die so erzeugte Schnittstelle enthält neben +3,3 Volt und +5 Volt Versorgungsspannung auch die SPI-Schnittstelle SPI1, die USART-Schnittstelle USART1 und vier der internen ADU-Kanäle des Mikrocontrollers. Alle Datenleitungen der Schnittstelle sind durch BAS40-04 Schottky-Dioden gegen Über- bzw. Unterspannungen geschützt. UEXT-Schnittstelle In Anlehnung an die UEXT-Schnittstelle der Firma Olimex wurde auf dem ASMO-Board ein 10-poliger Stecker vorgesehen, der die serielle Schnittelle USART1, die SPI-Schnittstelle SPI1 und das Two-Wire-Interface enthält. Diese Schnittstelle wird in erster Linie genutzt, um ein Farbdisplay, ausgehend von dem LCD eines Nokia-Handys (Firma Olimex, Modell MOD-NOKIA6610), zu Entwicklungszwecken anzuschließen. A.3.1 Pumpenkonsole Die für die Pumpenkonsole erarbeitete Hardware basiert auf dem ASMO-Board. Dieses wurde um einen mit 10 MHz getakteten Mikrocontroller ATmega644A der Firma Atmel erweitert, da der AT91SAM7 keine ausreichende Anzahl von digitalen Ein- und Ausgängen zur Ansteuerung aller benötigten Benutzerschnittstellen aufweist. Diese Mikrocontroller wird analog zum AT91SAM7 über einen IC MCP130 kontrolliert gestartet. 127 A Anhang 35 Anzahl der Ereignisse 30 25 20 15 10 5 0 0 5 10 15 20 25 30 35 40 45 50 55 60 RPZ Klassengrenzen Abbildung A.1: Histogramm der RPZs der einzelnen Fehlerursachen A.4 Fehlermöglichkeits- und -Einflussanalyse Die folgende FMEA analysiert die in Abschnitt 4.2.1 definierten logischen Funktionseinheiten des SmartECLA Systems. Tabelle A.1 zeigt die angewendete Einteilung von Auftretenshäufigkeit, Schweregrad und Diagnostizierbarkeit, sowie die Akzeptanzkriterien (Abbildung angelehnt an [SLW+ 10, Jörgens(2010), Lang(2009)]). Eine Analyse der RPZs aller Fehlerursachen ist in Form eines Histogramms in Abbildung A.1 dargestellt. Weitere Details zur Erstellung dieser FMEA sind in Abschnitt 4.2.1 gegeben. 128 A.4 Fehlermöglichkeits- und -Einflussanalyse 1 5 0 1 5 1 5 RPZ ≤ 15 16 ≤ RPZ ≤ 25 RPZ > 25 Auftretenshäufigkeit (o, engl.: Occurence) extrem seltenes Auftreten .. . häufiges Auftreten Schweregrad (s, engl.: Severity) keine Gefährdung (keinen Einfluss auf andere Komponenten) geringe Gefährdung (z. B. suboptimale Behandlung) .. . große Gefährdung (Patient stirbt in weniger als einer Minute) Diagnostizierbarkeit (d, engl.: Detection) einfache Erkennung möglich .. . nahezu keine Erkennung möglich Akzeptanzkriterien Risiko gilt als kontrollierbar Es muss entschieden werden, ob Maßnahmen zur Risikokontrolle angewendet werden müssen Risikokontrollmaßnahmen zwingend erforderlich Tabelle A.1: Qualitative Einteilung des Schweregrads, der Auftretenshäufigkeit und der Diagnostizierbarkeit sowie angewendete Akzeptanzkriterien bei der SmartECLA Analyse 129 # Komponente Funktion 1 2 4 5 6 Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Ausfall der Messung Beeinflussung der Regelung Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Ausgabe von pvCO₂ 7 8 9 10 Ausfall der Messung Beeinflussung der Regelung Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Ausfall der Messung Beeinflussung der Regelung Ausgabe der venösen Temperatur 11 12 13 Abweichung der Messergebnisse um mehr als 10% 14 16 Fehlerauswirkung Ausgabe von pvO₂ 3 15 Art des Fehlers Beeinflussung der Regelung Ausgabe des venösen pH-Werts Blutgasmessung 17 18 Ausfall der Messung Beeinflussung der Regelung Abweichung der Messergebnisse um mehr als 10% keine Auswirkung Ausfall der Messung keine Auswirkung Ausgabe des K⁺-Werts 19 20 21 Abweichung der Messergebnisse um mehr als 10% 22 keine Auswirkung Ausgabe der venösen O₂-Sättigung 23 24 25 26 Ausfall der Messung keine Auswirkung Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Ausfall der Messung Ausfall der Regelung Ausgabe von paO₂ 27 28 29 Ausgabe von paCO₂ 30 Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung 31 keine Datenübertragung 32 Daten übertragen 33 34 Mikrocontroller 35 36 37 Modelle berechnen Beeinflussung der Regelung Fehlerursache o s d RPZ Sensorfehler 3 4 5 60 Fehler bei der Kalibrierung des Geräts 1 4 5 20 Sensordefekt 2 2 1 4 elektrischer Fehler in der RS232-Verbindung 2 2 1 4 Sensorfehler 3 3 5 45 Fehler bei der Kalibrierung des Geräts 1 3 5 15 Sensordefekt 2 2 1 4 elektrischer Fehler in der RS232-Verbindung 2 2 1 4 Sensorfehler 1 2 2 4 Fehler bei der Kalibrierung des Geräts 1 2 2 4 Sensordefekt 2 1 1 2 elektrischer Fehler in der RS232-Verbindung 2 1 1 2 Sensorfehler 3 3 5 45 Fehler bei der Kalibrierung des Geräts 1 3 5 15 Sensordefekt 2 2 1 4 elektrischer Fehler in der RS232-Verbindung 2 2 1 4 Sensorfehler 3 0 5 0 Fehler bei der Kalibrierung des Geräts 1 0 5 0 Sensordefekt 2 0 1 0 elektrischer Fehler in der RS232-Verbindung 2 0 1 0 Sensorfehler 3 0 5 0 Fehler bei der Kalibrierung des Geräts 1 0 5 0 Sensordefekt 2 0 1 0 elektrischer Fehler in der RS232-Verbindung 2 0 1 0 Sensorfehler 3 4 5 60 Fehler bei der Kalibrierung des Geräts 1 4 5 20 Sensordefekt 2 3 1 6 elektrischer Fehler in der RS232-Verbindung 2 3 1 6 Sensorfehler 3 3 5 45 Fehler bei der Kalibrierung des Geräts 1 3 5 15 Fehler im ASMO-Board 2 4 1 8 elektrischer Fehler im CAN-Netz 3 2 1 6 Bubbling Idiot 1 2 3 6 Übertragung falscher Daten Fehler im ASMO-Board 2 4 4 32 zu langsame Übertragung der Daten Fehler im ASMO-Board 2 4 4 32 Fehler im ASMO-Board 2 4 4 32 Fehler im ASMO-Board 1 4 1 4 Rechenfehler zu langsame Ausführung der Modelle Beeinflussung der Modelle 38 39 Erhöhung des Strömungswiderstands um mehr als 30% (Verstopfen) Verringerung des Extrakorporalen Blutflusses 40 Massenerhaltung ist nicht mehr gewährleistet Blutverlust 41 42 Schläuche und Verbinder Bluttransport Abknickungen im Schlauchsystem 2 4 2 16 Zusetzen (Verklotten) 2 4 2 16 Leckagen 2 5 4 40 Einfuhr von Luftblasen größer als 4 μm Emboliegefahr Ansaugen von Luft, unzureichendes Priming 2 5 1 10 Entstehung von Thromben Verringerung des Extrakorporalen Blutflusses, Festkörper im Blut Blutgerinnung durch Fremdmaterial, zu geringe Heparinisierung 5 2 2 20 43 Partikelablösung Fremdkörpereinfluss schädigt Blut mechanische Belastung 1 3 5 15 44 Fehler beim Anschluss Blutverlust, Luftblasen im System Fehler beim Aufbau 1 5 2 10 45 Lösen einer Verbindung Großer Blutverlust mechanische Belastung, unzureichende Fixierung 2 5 3 30 Ausfall der Messung Beeinflussung der Regelung Sensordefekt 2 2 1 4 elektrischer Fehler in der RS232-Verbindung 2 2 1 4 Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Ausfall der Messung Beeinflussung der Regelung 46 Ausgabe von paCO₂ 47 48 49 Ausgabe der arterialisierten Temperatur 50 51 52 Abweichung der Messergebnisse um mehr als 10% 53 54 55 56 57 Ausfall der Messung Beeinflussung der Regelung Abweichung der Messergebnisse um mehr als 10% keine Auswirkung Ausfall der Messung keine Auswirkung Ausgabe der arterialisierten O₂Sättigung 58 59 60 Beeinflussung der Regelung Ausgabe des arterialisierten pHWerts Blutgasmessung Sensorfehler 1 2 4 8 Fehler bei der Kalibrierung des Geräts 1 2 4 8 Sensordefekt 2 1 1 2 elektrischer Fehler in der RS232-Verbindung 2 1 1 2 Sensorfehler 3 3 5 45 Fehler bei der Kalibrierung des Geräts 1 3 5 15 Sensordefekt 2 2 1 4 elektrischer Fehler in der RS232-Verbindung 2 2 1 4 Sensorfehler 3 0 5 0 Fehler bei der Kalibrierung des Geräts 1 0 5 0 Sensordefekt 2 0 1 0 elektrischer Fehler in der RS232-Verbindung 2 0 1 0 Abknickungen im Schlauchsystem 2 4 3 24 Zusetzen (Verklotten) 2 4 3 24 61 Erhöhung des Strömungswiderstands um mehr als 30% (Verstopfen) 62 Massenerhaltung ist nicht mehr gewährleistet Blutverlust Leckagen 1 5 4 20 63 Einfuhr von Luftblasen größer als 4 μm Emboliegefahr Ansaugen von Luft, unzureichendes Priming 3 5 1 15 64 Entstehung von Thromben Verringerung des Extrakorporalen Blutflusses, Festkörper im Blut Blutgerinnung durch Fremdmaterial, zu geringe Heparinisierung 4 2 4 32 65 Partikelablösung Fremdkörpereinfluss schädigt Blut mechanische Belastung der Schläuche, Ablösung von Partikeln in den Pumpen der Blutgasmessung 1 5 5 25 Hämolyse Schädigung des Patienten Shuntpumpen der BGA 2 4 3 24 Erhitzung des Blutes über 41°C Schädigung des Patienten Shuntpumpen der BGA 1 5 3 15 Falscher Blutfluss im System Fehler beim Aufbau 1 5 2 10 66 67 68 69 Bluttransport durch die Messstrecke Fehler beim Anschluss 70 71 72 73 Verringerung des Extrakorporalen Blutflusses Beeinflussung der Messwerte verspätete Messwerte Unzureichender Blutfluss durch Messstrecke verfälschte Messwerte Fehler beim Aufbau 1 5 2 10 Blutfluss zu gering eingestellt 3 2 2 12 Fehler in Blutpumpe 1 2 3 6 Blutfluss zu gering eingestellt 3 3 3 27 Fehler in Blutpumpe 1 3 4 12 74 Abknickung im Schlauchsystem 1 4 2 8 Erhöhter Flusswiderstand Geringerer Gasfluss zum Oxygenator Plasmaübertritt 2 4 2 16 Massenerhaltung ist nicht mehr gewährleistet Geringerer Gasfluss zum Oxygenator Leckagen 2 2 4 16 Änderung der Gaszusammensetzung Fehlerhafte Gaszusammensetzung im Oxygenator, Beeinflussung des Gasaustauschs Leckagen 2 3 4 24 keine Gasausgabe Kein Gasaustausch im Oxygenator Defekt der internen Regelung, Mangelnde Stromversorgung 2 5 2 20 79 fehlerhaftes Anschließen 1 5 1 5 80 Fehler in der Regelung 2 4 3 24 Fehler im Gasstromregler 1 4 1 4 75 Gastransport 76 77 78 zu hoher Druck, Blasenbildung im Oxygenator 81 O₂ Gasfluss mehr als 5% zu hoch 82 Hypokapnie 83 84 Hypoxie 85 86 Gasmischer - Bereitstellen des eingestellten Gasgemisches 87 O₂ Gasfluss mehr als 5% zu gering Hyperkapnie 88 zu hoher Druck, Blasenbildung im Oxygenator 89 90 Begasung N₂ Gasfluss mehr als 5% zu hoch 91 92 O₂ Gehalt des Gasgemisches fehlerhaft, zu geringe Oxygenierung des Patienten Hypokapnie 93 94 N₂ Gasfluss mehr als 5% zu gering 95 96 Hyperkapnie Fehler in der Regelung 2 2 3 12 Fehler im Gasstromregler 1 2 1 2 Fehler in der Regelung 2 4 3 24 Fehler im Gasstromregler 1 4 1 4 Fehler in der Regelung 2 3 3 18 Fehler im Gasstromregler 1 3 1 3 Fehler in der Regelung 2 4 3 24 Fehler im Gasstromregler 1 4 1 4 Fehler in der Regelung 2 4 3 24 Fehler im Gasstromregler 1 4 1 4 Fehler in der Regelung 2 2 3 12 Fehler im Gasstromregler 1 2 1 2 Fehler in der Regelung 2 3 3 18 Fehler im Gasstromregler 1 3 1 3 Abknickungen im Schlauchsystem 2 4 2 16 Zusetzen (Verklotten) 3 4 2 24 97 Erhöhung des Strömungswiderstands um mehr als 30% (Verstopfen) 98 Massenerhaltung ist nicht mehr gewährleistet Blutverlust Leckagen 2 5 5 50 99 Einfuhr von Luftblasen größer als 4 μm Emboliegefahr Ansaugen von Luft, unzureichendes Priming 3 5 1 15 100 Entstehung von Thromben Verringerung des Extrakorporalen Blutflusses, Festkörper im Blut Blutgerinnung durch Fremdmaterial, zu geringe Heparinisierung 2 3 4 24 101 Partikelablösung Fremdkörpereinfluss schädigt Blut mechanische Belastung 1 3 5 15 102 Fehler beim Anschluss Blutverlust, Luftblasen im System Fehler beim Aufbau 1 5 2 10 103 104 105 106 Bluttransport durch den Oxygenator Oxygenierung des Blutes Decarboxylierung des Blutes Verringerung des Extrakorporalen Blutflusses kein Gasaustausch Hypoxie und Hyperkapnie Fehler im Oxygenator 2 5 2 20 O₂ Gasaustausch um mehr als 10% verringert Hypoxie Fehler im Oxygenator 2 5 2 20 kein Gasaustausch Hypoxie und Hyperkapnie Fehler im Oxygenator 2 5 2 20 CO₂ Gasaustausch um mehr als 10% verringert Hyperkapnie Fehler im Oxygenator 2 4 3 24 107 108 Erhöhung des Strömungswiderstands um mehr als 30% (Verstopfen) Verringerung des Extrakorporalen Blutflusses 109 Massenerhaltung ist nicht mehr gewährleistet Blutverlust Abknickungen im Schlauchsystem 2 4 2 16 Zusetzen (Verklotten) 3 4 2 24 Leckagen 2 5 5 50 Einfuhr von Luftblasen größer als 4 μm Emboliegefahr Ansaugen von Luft, unzureichendes Priming 3 5 1 15 Entstehung von Thromben Verringerung des Extrakorporalen Blutflusses, Festkörper im Blut Blutgerinnung durch Fremdmaterial, zu geringe Heparinisierung 5 2 4 40 112 Partikelablösung Fremdkörpereinfluss schädigt Blut mechanische Belastung 1 3 5 15 113 Fehler beim Anschluss Blutverlust, Luftblasen im System Fehler beim Aufbau 1 5 2 10 Fehler im Regler 1 3 3 9 Messfehler des Flusssensors 1 3 3 9 Fehler im Regler 1 4 3 12 Messfehler des Flusssensors 1 4 3 12 110 Bluttransport 111 114 zu großer extrakorporaler Fluss 115 Abweichung der Drehzahl um mehr als 10% nach oben 116 Regelung der Pumpendrehzahl 117 118 119 120 Ausgabe der Drehzahl der Pumpe 121 122 123 Hämolyse oder Überhitzung des Blutes Abweichung der Drehzahl um mehr als 10% nach unten zu geringer extrakorporaler Fluss Abweichung der Drehzahl um mehr als 5% Beeinflussung der Pumpenregelung keine Ausgabe von Daten Keine Blutflussregelung möglich Pumpkreis Ausgabe der Flussmessung 124 125 126 127 128 129 130 131 4 3 12 1 4 3 12 Sensorfehler Hall Sensor 1 4 3 12 Sensorfehler Flowmeter 2 3 1 6 Fehler im ASMO-Board 2 3 1 6 Sensorfehler Flowmeter 3 4 3 36 Fehler im ASMO-Board 2 4 3 24 Sensorfehler Flowmeter 4 2 3 24 Fehler im ASMO-Board 2 2 3 12 Fehler beim Aufbau 1 4 2 8 Elektrischer Fehler in Regelung 2 1 1 2 Bubbling Idiot 1 2 3 6 Beeinflussung der Regelungen Abweichung um mehr als 5% nach unten Beeinflussung der Regelungen Fehler beim Anschluss Blutverlust, Luftblasen im System, Blutfluss in die falsche Richtung Blockieren des CAN-Bus Ausfall der Systemkommunikation Zu große Stromaufnahme (10% mehr als geplant) Blutschädigung durch Erwärmung Zu große Stromaufnahme der Pumpe 1 5 2 10 zu großer extrakorporaler Fluss Fehler im Regler 1 3 1 3 Hämolyse oder Überhitzung des Blutes Fehler im Regler 1 4 2 8 Fehler im Regler 1 4 1 4 Klott / Fehler im Pumpenkopf 2 3 2 12 Flusserzeugung 133 1 Abweichung um mehr als 5% nach oben Flusserzeugung 10% zu hoch 132 Fehler im Regler Messfehler des Flusssensors Flusserzeugung 10% zu niedrig zu geringer extrakorporaler Fluss 135 keine Flusserzeugung kein extrakorporaler Fluss Lagerschaden Pumpenkopf 2 5 1 10 136 Hämolyse Schädigung des Patienten hohe Pumpendrehzahl 3 5 2 30 137 Erhitzung des Blutes über 41°C Schädigung des Patienten Überhitzung der Pumpe 1 5 2 10 138 Stromabfluss über das Blut Schädigung des Patienten Leckagen 1 5 1 5 Abweichung der Messergebnisse um mehr als 10% Beeinflussung der Regelung Sensorfehler 1 4 4 16 134 139 140 141 142 143 peripher arterielle Sauerstoffmessung Ausgabe von SpO2 Ausfall der Messung Beeinflussung der Regelung Patient Zentralisiert 3 4 4 48 Sensordefekt 1 3 1 3 Fingerclip abgefallen 3 3 1 9 Patient Zentralisiert 3 3 1 9 144 Abknickungen im Schlauchsystem 2 4 2 16 Zusetzen (Verklotten) 3 4 2 24 Leckagen 3 3 4 36 Emboliegefahr Ansaugen von Luft, unzureichendes Priming 3 5 1 15 Entstehung von Thromben Verringerung des Extrakorporalen Blutflusses, Festkörper im Blut Blutgerinnung durch Fremdmaterial, zu geringe Heparinisierung 5 2 4 40 149 Partikelablösung Fremdkörpereinfluss schädigt Blut mechanische Belastung 1 3 5 15 150 Fehler beim Anschluss Blutverlust, Luftblasen im System Fehler beim Aufbau 1 5 2 10 151 Fehlpositionierung Blutverlust, Erhöhung des Flusswiderstandes Falsches Einführen, mangelnde Fixierung 3 4 2 24 Ansaugen der Entnahmegefäßwand kein extrakorporaler Fluss Blockieren des CAN-Bus Ausfall der Systemkommunikation Bubbling Idiot 1 2 3 6 paO2 mehr als 10 % zu hoch eingestellt Hyperoxie Fehler in der Regelung 2 3 3 18 paO2 mehr als 10 % zu niedrig eingestellt Hypoxie Fehler in der Regelung 2 5 3 30 paCO2 mehr als 10 % zu hoch eingestellt Hyperkapnie Fehler in der Regelung 2 4 3 24 paCO2 mehr als 10 % zu niedrig eingestellt Hypokapnie Fehler in der Regelung 2 3 3 18 Blockieren des CAN-Bus Ausfall der Systemkommunikation SpO2 mehr als 10 % zu hoch eingestellt Hämolyse oder Überhitzung des Blutes 145 Erhöhung des Strömungswiderstands um mehr als 30% (Verstopfen) Verringerung des Extrakorporalen Blutflusses 146 Massenerhaltung ist nicht mehr gewährleistet Blutverlust 147 Einfuhr von Luftblasen größer als 4 μm 148 Kanülen Bluttransport 152 153 154 155 Einstellung geeigneter Gasflüsse zum Erreichen der gewünschten Werte für pO₂ und pCO₂ (arterialisiert) 156 157 158 159 160 Regelung 161 162 163 164 165 Einstellung des SpO2 SpO2 mehr als 10 % zu niedrig eingestellt unzureichender Gasaustausch Volumenmangel des Patienten 2 5 1 10 zu hoher extrakorporaler Fluss 2 5 4 40 Elektrischer Fehler im Umsetzer 3 2 1 6 Elektrischer Fehler im Umsetzer 3 3 1 9 Bubbling Idiot 1 2 3 6 Fehler in der Regelung 2 4 3 24 Fehler in der Blutflussmessung 3 3 4 36 Fehler in der Regelung 2 5 3 30 Fehler in der Blutflussmessung 3 4 4 48 A.5 Fehlerbaumanalyse A.5 Fehlerbaumanalyse Die folgende FTA analysiert, ausgehend von der Negation der in Abschnitt 4.1 definierten Sicherheitsziele, Ereignisse, die zu einer Verletzung der Sicherheitsziele führen können [SLW+ 10, Jörgens(2010), Lang(2009)]. Weitere Details zur Erstellung dieser FTA sind in Abschnitt 4.2.2 gegeben. Die im Folgenden genutzte Semantik der FTA ist in Abbildung A.2 erläutert. TOP Ereignis ODERVerknüpfung BASIC Ereignis Ereignis UNDVerknüpfung BASIC Ereignis BASIC Ereignis Abbildung A.2: Beispielhafter Fehlerbaum zur Veranschaulichung der genutzten Semantik (Abbildung entnommen aus [Jörgens(2010)]) 135 Oxygenierung erzielt weniger als 60 mmHg paO2 Zu geringer Gasaustausch O2 Diffusionskapazität des Oxygenator stark verringert Gastransport verringert/fällt aus Zu geringer O2-Anteil wird angefordert Fehler bei der Gasmischung Regelung fordert Werte an, die nicht zur Einstellung des gewünschten Gastransfers führen Zusetzen der Membran Blutgasmessung paO2 weicht nach oben ab Verklotten Zu geringer Gasfluss Gasschläuche haben Leck Zu geringer Anteil O2 Gasschläuche haben hohen Flusswiderstand Beeinflussung der Regelung durch die pCO2Regelung Fehler in der Berechnung Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Decarbonisierung so gering, dass arterialisierter Blut-pH unter 7,15 sinkt oder |d/dt paCO2| > 10mmHg/min Zu schnelle Änderung des paCO2 Zu geringe CO2 Elimination Zu geringer Gasaustausch CO2 Regelung fordert zu geringen Gasfluss an Schnelle Veränderung des Gasaustausch Diffusionskapazität des Oxygenator stark verringert Gastransport verringert/fällt aus Zu geringer Gasfluss durch Gasmischer Regelung fordert Werte an, die nicht zur Einstellung des gewünschten Gastransfers führen Zusetzen der Membran Regelung fordert schnelle Änderung des Gasfluss an Blutgasmessung paCO2 weicht nach unten ab Verklotten Gasschläuche haben Leck Gasschläuche haben hohen Flusswiderstand Fehler in der Berechnung Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Extrakorporale Blutflussrate fällt unter 0,5l/min Zu geringe Flusserzeugung Flusswiderstand beim Bluttransport zu hoch Flusswiderstand in Schlauch zu hoch Abknicken Verklotten Flusswiderstand in Verbinder zu hoch Verklotten Flusswiderstand in Kanüle zu hoch Abknicken Verklotten Festsaugen Angeforderte Pumpendrehzahl wird nicht erreicht Angeforderte Pumpendrehzahl zu gering Flusswiderstand in Begasung zu hoch Flusswiderstand in Pumpsystem zu hoch Flusswiderstand in Oxygenator zu hoch Flusswiderstand in Pumpe zu hoch Verklotten Verklotten Flusssensor liefert zu hohe Werte Fehler in der Regelung Defekt der Pumpe Mangelnde Stromversorgung Defekt der internen Drehzahlregelung Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Patient erleidet Blutverlust durch das extrakorporale System Blutverlust in Schläuchen Leck Zu hoher Druck im System Blutverlust an Verbindern Leck Zu hoher Druck im System Blutverlust an Kanüle Leck Blutverlust in Blutgasmessung Leck Blutverlust in Begasung Blutverlust in Pumpsystem Blutverlust in Oxygenator Blutverlust in Pumpe Leck Leck Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Überhitzung des Blutes über 41°C oder zu starke Hämolyse Überhitzung Überhitzung im Pumpkreis Hämolyse Überhitzung in Blutgasanalyse* Hämolyse durch die Pumpe Hämolyse in Blutgasanalyse* Zu hohe Pumpendrehzahl Zu großer Unterdruck Überhitzung der Pumpe Zu hohe Pumpendrehzahl Zu hohe Pumpendrehzahl wird angefordert Defekt der Pumpe Flusswiderstand in Schlauch zu hoch Abknicken *) Diese Ausfälle entstehen durch die Pumpen in der Blutgasmessung. Es wird angenommen, dass die Fehlerfälle innerhalb der Blutgasmessung auf ähnliche Weise behandelt werden können wie beim zentralen Pumpsystem Flusswiderstand vor Pumpe zu hoch Verklotten Flusswiderstand in Verbinder zu hoch Verklotten Flusswiderstand in Kanüle zu hoch Abknicken Verklotten Festsaugen Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Fremdstoffe gelangen in den Körper des Patienten Ablösung von Fremdstoffen in den Schläuchen Ablösung von Fremdstoffen in der Begasung Ablösung von Fremdstoffen in Verbindern Ablösung von Fremdstoffen in den Kanülen äußere Einflüsse äußere Einflüsse Ablösung von Fremdstoffen im Pumpkreis Ablösung von Fremdstoffen in Blutgasmessung Ablösung von Fremdstoffen im Oxygenator äußere Einflüsse Platzen der Membran des Oxygenators äußere Einflüsse äußere Einflüsse äußere Einflüsse Partikelablösung im Pumpsystem der Blutgasmessung Partikelablösung im Pumpsystem Zu hoher Gasdruck im Oxygenator Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Luftblasen mit mehr als 4µm Durchmesser kommen in den Kreislauf des Patienten Luftblasen unerkannt im System Blasenbildung in Schläuchen Blasenbildung in Begasung Blasenbildung an Verbindern Blasenbildung in Kanüle Blasenbildung in Blutgasanalyse Blasenbildung in Pumpkreis Blasenbildung im Oxygenator Leck Leck Unzureichendes Priming Leck Leck Unzureichendes Priming Blasenbildung in Pumpe Leck Unzureichendes Priming Unzureichendes Priming Leck Unzureichendes Priming Zu hoher Gasdruck im Oxygenator Unzureichendes Priming Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus A.6 Nachher Fehlerbaumanalyse A.6 Nachher Fehlerbaumanalyse Die folgende FTA wurde um die im Rahmen dieser Arbeit und dem Projekt SmartECLA eingeführten Sicherheitsmaßnahmen erweitert. Grün schraffierte Maßnahmen wurden restrospektiv ausgehend von den aufgezeichneten Daten der Tierversuche untersucht, jedoch nicht im Rahmen eines In-vivo-Versuches erfolgreich validiert. (Abbildung angelehnt an [SLW+ 10, Jörgens(2010), Lang(2009)]) 143 Oxygenierung erzielt weniger als 60 mmHg paO2 Zu geringer Gasaustausch O2 Diffusionskapazität des Oxygenator stark verringert Zu geringer O2-Anteil wird angefordert Gastransport verringert/fällt aus Fehler bei der Gasmischung Überwachung des paO2 versagt Fehler trotz Checkliste nicht bemerkt Modellbasierte OxygenatorDiagnose versagt Zusetzen der Membran Modellbasierte OxygenatorDiagnose versagt Gasflussüberwachung versagt Zu geringer Gasfluss Regelung fordert Werte an, die nicht zur Einstellung des gewünschten Gastransfers führen Blutgasmessung paO2 weicht nach oben ab Virtuelle O2 Bilanzierung versagt Zu geringer Anteil O2 Verklotten Gasschläuche haben Leck Gasschläuche haben hohen Flusswiderstand Beeinflussung der Regelung durch die pCO2Regelung Fehler in der Berechnung Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Decarbonisierung so gering, dass arterialisierter Blut-pH unter 7,15 sinkt oder |d/dt paCO2| > 10mmHg/min Zu schnelle Änderung des paCO2 Zu geringe CO2 Elimination Zu geringer Gasaustausch CO2 Regelung fordert zu geringen Gasfluss an Schnelle Veränderung des Gasaustausch Regelung fordert schnelle Änderung des Gasfluss an Diffusionskapazität des Oxygenator stark verringert Gastransport verringert/fällt aus Beschränkung der Änderungsrate versagt Zu geringer Gasfluss durch Gasmischer Überwachung des paCO2 versagt Regelung fordert Werte an, die nicht zur Einstellung des gewünschten Gastransfers führen Blutgasmessung paCO2 weicht nach unten ab Gasflussbeschränkung versagt Fehler trotz Checkliste nicht bemerkt Modellbasierte OxygenatorDiagnose versagt Zusetzen der Membran Modellbasierte OxygenatorDiagnose versagt Verklotten Gasschläuche haben Leck Gasschläuche haben hohen Flusswiderstand Fehler in der Berechnung Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Extrakorporale Blutflussrate fällt unter 0,5l/min Zu geringe Flusserzeugung Flusswiderstand beim Bluttransport zu hoch Angeforderte Pumpendrehzahl wird nicht erreicht Angeforderte Pumpendrehzahl zu gering Pumpenüberwachung versagt Flusswiderstand in Schlauch zu hoch Drehzahlmessung versagt Flusswiderstand in Verbinder zu hoch Flusswiderstand in Kanüle zu hoch Flusswiderstand in Begasung zu hoch Flusswiderstand in Pumpsystem zu hoch Flusswiderstand in Oxygenator zu hoch Flusswiderstand in Pumpe zu hoch Defekt der Pumpe Flusssensor liefert zu hohe Werte Abknicken Verklotten Verklotten Abknicken Kanülenüberwachung versagt Verklotten Festsaugen Verklotten Drehzahlbeschränkung versagt Fehler in der Regelung Mangelnde Stromversorgung Defekt der internen Drehzahlregelung Flussratenüberwachung versagt Verklotten Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Patient erleidet Blutverlust durch das extrakorporale System Blutverlust in Schläuchen Leck Zu hoher Druck im System Blutverlust an Verbindern Leck Zu hoher Druck im System Blutverlust an Kanüle Leck Blutverlust in Blutgasmessung Leck Blutverlust in Begasung Blutverlust in Pumpsystem Blutverlust in Oxygenator Blutverlust in Pumpe Leck Leck Pumpenüberwachung versagt Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Überhitzung des Blutes über 41°C oder zu starke Hämolyse Überhitzung Überhitzung im Pumpkreis Hämolyse Überhitzung in Blutgasanalyse* Hämolyse durch die Pumpe Hämolyse in Blutgasanalyse* Zu hohe Pumpendrehzahl Temperaturüberwachung versagt Überhitzung der Pumpe Drehzahlbeschränkung versagt Zu großer Unterdruck Drehzahlbeschränkung versagt Zu hohe Pumpendrehzahl wird angefordert *) Diese Ausfälle entstehen durch die Pumpen in der Blutgasmessung. Es wird angenommen, dass die Fehlerfälle innerhalb der Blutgasmessung auf ähnliche Weise behandelt werden können wie beim zentralen Pumpsystem Defekt der Pumpe Hämolyse durch Unterdruck mit Studie widerlegt Zurücklesen der Pumpendrehzahl versagt Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Fremdstoffe gelangen in den Körper des Patienten Ablösung von Fremdstoffen in den Schläuchen Ablösung von Fremdstoffen in der Begasung Ablösung von Fremdstoffen in Verbindern Ablösung von Fremdstoffen in den Kanülen äußere Einflüsse äußere Einflüsse Ablösung von Fremdstoffen im Pumpkreis Ablösung von Fremdstoffen in Blutgasmessung Ablösung von Fremdstoffen im Oxygenator äußere Einflüsse Platzen der Membran des Oxygenators äußere Einflüsse äußere Einflüsse Partikelablösung im Pumpsystem der Blutgasmessung Partikelablösung im Pumpsystem äußere Einflüsse Zu hoher Gasdruck im Oxygenator Gasflussbeschränkung versagt konstruktive Verhinderung von Fehlerfällen Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus Luftblasen mit mehr als 4µm Durchmesser kommen in den Kreislauf des Patienten Luftblasen unerkannt im System Blasenbildung nach der Luftblasenerkennung Luftblasenerkennung versagt Blasenbildung in Schläuchen Blasenbildung in Begasung Blasenbildung an Verbindern Blasenbildung in Kanüle Blasenbildung in Blutgasanalyse Blasenbildung in Pumpkreis Blasenbildung im Oxygenator Leck Leck Leck Blasenbildung in Pumpe Leck Pumpenüberwachung versagt Unzureichendes Priming Leck Unzureichendes Priming Unzureichendes Priming Unzureichendes Priming Leck Unzureichendes Priming Zu hoher Gasdruck im Oxygenator Gasflussbeschränkung versagt Unzureichendes Priming Legende: Bluttransport Pumpe Pumpregelung Blutflusssensor Begasung Begasungsregelung Blutgasmessung Sicherheitsmechanismus A.7 Algorithmus zur Detektion des Kanüleansaugens A.7 Algorithmus zur Detektion des Kanüleansaugens Das in Abschnitt 5.3.2 vorgestellte Modell zur Detektion des Ansaugens der Entnahmegefäßwand an die Entnahmekanüle basiert auf der Errechnung eines Konfidenzmaßes und dem Vergleich dieses mit einem vorgegebenen Grenzwert. Die Berechnung nutzt als Eingangsdatenwerte den Blutdruck pBlut , den Puls und den extrakorporalen Blutfluss QBlut . Der erarbeitete Algorithmus ist in Abbildung Abbildung A.3 in Form eines Programmablaufplans dargestellt. Zunächst wird der Blutdruck pBlut an der Entnahmekanüle auf sein Vorzeichen überprüft. Bei positivem Blutdruck kann die Kanüle nicht angesaugt werden. Liegt ein negativer Druck an der Entnahmekanüle vor, wird mithilfe der schnellen Fourier-Transformation (FFT) das Frequenzspektrum des Blutflusssignals errechnet. Dieses wird anschließend vom Gleichanteil sowie den Frequenzanteilen des Pulses und dessen Harmonischen befreit. Die verbleibenden Spektralanteile werden aufsummiert. Der Maximalwert aus dem negativen Blutdruck −pBlut und 0 und die aufsummierten Spektralanteile werden gewichtet zum Konfidenzmaß addiert. Der genutzte Grenzwert wurde empirisch, basierend auf den vorhandenen Messwerten der Tierversuche so ausgelegt, dass im normalen Betrieb der Grenzwert nicht überschritten wird. Blutdruckmesssignal Blutflussmesssignal Puls pBlut,Kanüle > 0 pBlut,Kanüle max(0, -1·pBlut,Kanüle) Gewichtete Addition von Spektrum und negativem Entnahmedruck Gefiltertes Spektrum Bandsperre Gleichwertfreies Spektrum Hochpass Frequenzspektrum FFT Konfidenzmaß nein Limit überschritten Keine Ansaugung nein ja Gefahr der Ansaugung gegeben Abbildung A.3: Zur Detektion des Kanüleansaugens eingesetzter Algorithmus 151 A Anhang A.8 Algorithmus zur Auswertung der Rezirkulation Das in Abschnitt 5.3.4 vorgestellte Modell zur Quantisierung der Rezirkulation von extrakorporal oxygeniertem Blut innerhalb des Patienten hin zur Entnahmekanüle der extrakorporalen Zirkulation basiert auf dem Prinzip der Thermodilution [50, 53, 82, 136, 156, 160]. Dazu wurde die Bluttemperatur am Eingang des Oxygenator erfasst und dem Kreislauf vor der Rückgabe in den Patienten ein Bolus kalter Kochsalzlösung injiziert. Da die zur quantitativen Bestimmung der Rezirkulation benötigte Messgrößen der Temperatur der injizierten Kochsalzlösung nicht erfasst wurde, ist nur eine qualitative Bestimmung der Rezirkulation möglich. Zur qualitativen Bestimmung der Rezirkulation wurde ein vereinfachter Algorithmus implementiert, der über den ersten Temperaturausschlag, hervorgerufen durch den Bolus kalter Kochsalzlösung integriert. Der implementierte Algorithmus ist in Abbildung A.4 in Form eines Programmablaufplans dargestellt. Die gemessene Bluttemperatur wird untersucht, ob Temperaturänderungen >1,5 ◦ C/s auftreten. Ist dies der Fall, wird über die Abweichung des Temperaturausschlags von der aktuellen Körperkerntemperatur integriert. Bluttemperatur TB Differenzieren TB Sprung > 1,5 °C/sek ja Rez. Index: ∫(TB - TB(t)) dt Abbildung A.4: Zur Auswertung der Rezirkulation eingesetzter Algorithmus 152 A.9 Tierversuche A.9 Tierversuche Im Rahmen des Projektes SmartECLA wurden verschiedene Laborversuche und Tierversuche durchgeführt. In den Tierversuchen wurden weibliche Schweine der Deutschen Landrasse genutzt. Sämtliche durchgeführten Tierversuche wurden entsprechend den ethischen Grundsätzen für Tierversuche und erfolgten mit Genehmigung der zuständigen staatlichen Tierschutzkommission (Aufsichtsbehörde Landesamt für Natur, Umwelt und Verbraucherschutz NRW, Recklinghausen). Alle Tierversuche wurden im Zentrallaboratorium für Versuchstierkunde des Universitätsklinikums der RWTH Aachen durchgeführt. Eine Auflistung der durchgeführten Labor- und Tierversuche ist in den Tabellen A.2 bzw. A.3 gegeben. A.9.1 Versuchsaufbau In den Tierversuchen waren die Schweine zu allen Zeitpunkten narkotisiert. Den Tieren wurde durch zwei Kanülen venöses Blut aus der Vena femoralis entnommen. Das Bestreben war dabei, möglichst sauerstoffarmes Blut hinter dem Diaphragma zu entnehmen. Direkt nach den Kanülen wurden die beiden Stränge zusammengeführt. An dieser Stelle wurde der erste Druckmesspunkt verbunden. Diese Verbindung wurde durch einen 3-WegeHahn erstellt, sodass ein Zugang z. B. für Blutproben möglich war. Der Hauptstrang der extrakorporalen Zirkulation wurde in einem 3/8 Zoll PVC-Schlauch geführt. Im extrakorporalen Kreislauf wurde durch eine Blutpumpe der Blutfluss erzeugt. Der Blutpumpe war ein Konnektor vorgeschaltet, an dem ein Bypass für die venöse CDIMessstrecke (Shunt-Sensor) abgegriffen wurde. Das Blut wird durch diese Messstrecke mithilfe einer Rollenpumpe aktiv mit einem Fluss von 150 ml/min gefördert. Diese BypassLeitung wurde durch einen 1/8 Zoll PVC-Schlauch ausgeführt und wird direkt dem Oxygenator zugeführt. Der Hauptstrang wird nach der Blutpumpe ebenfalls dem Oxygenator zugeführt, dabei ist hinter der Blutpumpe über einen Konnektor wieder ein 3-Wege-Hahn und eine Druckmessung angeschlossen. In diesem Abschnitt des Kreislaufs ist zusätzlich die H/S Cuvette des CDI und der Ultraschall-Blutflusssensor verbunden. Da im Messkopf des Blutflusssensors quasi-laminare Strömung vorherrschen soll, ist dieser möglichst weit von der Blutpumpe entfernt angebracht. Am Ausgang des Oxygenators wird erneut über einen 3-Wege-Hahn der Blutdruck kontinuierlich erfasst, mit der Möglichkeit, Blutproben zu ziehen. Nach dem Oxygenator wird der extrakorporale Kreislauf über eine Kanüle dem Schwein in die Vena jugularis interna zurückgeführt. Zu diesem (arteriellen) Schenkel der extrakorporalen Zirkulation existiert – analog dem venösen Schenkel – ein Bypass mit einer CDI-Messstrecke. Die Druckmessstellen wurden intermittierend gespült, um ein Zusetzen der Sensoren zu vermeiden. Während dieser Spülungen und dem Entnehmen von Blutproben werden die Messreihen beeinflusst, daher können diese Zeitabschnitte nicht zur weiteren Auswertung genutzt werden. Zusätzlich müssen die Drücke gegen einen definierten Druck (im Normalfall Umgebungsdruck) abgeglichen werden. 153 A Anhang Der in den Tierversuchen genutzte Aufbau ist in Abbildung A.5 schematisch dargestellt. Abbildung A.6 zeigt eine Aufnahme aus einem Tierversuch. In dieser Abbildung sind die wichtigsten Komponenten der ECLA gekennzeichnet. 154 Datum 06.05.2008 10.06.2008 12.06.2008 18.06.2008 19.06.2008 20.06.2008 04.07.2008 11.07.2008 05.08.2008 01.09.2008 23.09.2008 22.04.2009 07.08.2009 18.08.2009 23.02.2010 07.05.2010 03.08.2010 28.09.2010 01.12.2010 02.02.2011 11.02.2011 15.02.2011 Inhalt des Versuches Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Blutfluss- und Oxygenatorregelung Pumpentest Pumpentest Elektroniktest Oxygenationsmessung Oxygenationsmessung Modellbildung Blutpumpe Pumpenvermessung Messgerätvalidierung Pumpenvermessung Pumpenvermessung Pumpenvermessung Pumpenvermessung Pumpenvermessung DP2 DP2 DP2 DP2 mit mit mit mit Blutersatzflüssigkeit Blutersatzflüssigkeit Blutersatzflüssigkeit Blutersatzflüssigkeit Blutversuch Blutversuch Blutersatzflüssigkeit neuer HEXMO Radiometer TCM CombiM Bemerkungen Tabelle A.2: Auflistung der durchgeführten Laborversuche 1,3 h 0,5 h 0,7 h 1,3 h 2,36 h 2,6 h Dauer A.9 Tierversuche 155 A Anhang 29.11.2010 18.10.2010 30.09.2010 Datum 23.07.2008 12.08.2008 15.10.2008 02.07.2009 12.08.2010 55,5 kg 56,0 kg 38,0 kg 44,0 kg 46,0 kg 41,7 kg 10,9 h 9,5 h 13,4 h 12 h 10,2 h Dauer 8,93 h 2,13 h 11,46 h 13 h 11,9 h Gericht d. Tiers 08.02.2011 10.02.2011 6,4 h 9,7 h 5,7 h 6,4 h 10,1 h 6,4 h 48,5 49,5 46,7 45,2 59,0 7,0 h 7,2 h 14.02.2011 16.02.2011 08.03.2011 10.03.2011 24.03.2011 01.08.2011 55,0 kg 58,0 kg kg kg kg kg kg 02.08.2011 04.08.2011 Inhalt des Versuches Bemerkungen erster Versuch mit innerem Regelkreis nur CDI, AS3 und dSPACE-System Validierung innerer Regelkreis Tier vorzeitig verstorben Validierung innerer Regelkreis nur CDI, AS3 und dSPACE-System Validierung innerer Regelkreis mit Temperatursensor Validierung äußerer Regelkreis frühzeitiger Tod des Versuchstiers (Vorerkrankt?) Validierung äußerer Regelkreis Kanülenansaugung, Luft injektion, Rezirkulationsmessung, Probleme mit CDI Validierung äußerer Regelkreis Rezirkulation, Blutflussmesswerte nicht valide Validierung äußerer Regelkreis zwei Oxys (Simulation zusetzen von Membranteilen), Rezirkulation Abschlussversuchsreihe Validierung Pumpenmodell Abschlussversuchsreihe Fehler bei Drücken, Drücke durch zugesetzten 3-Wege-Hahn falsch?, Validierung Pumpenmodell Abschlussversuchsreihe Cardiac Output erst ab Versuchsmitte, Validierung Pumpenmodell Abschlussversuchsreihe Validierung Pumpenmodell Abschlussversuchsreihe CDI und CAN Probleme Abschlussversuchsreihe mehrfach Kanüleansaugen Abschlussversuchsreihe PiCCO und CDI Probleme Abschlussversuchsreihe Gasmischer Probleme, Pumpenprobleme, Luft in Gasphase Abschlussversuchsreihe Luft in Gasphase Abschlussversuchsreihe Drücke teilweise falsch, Pumpenprobleme, Luft in Gasphase Tabelle A.3: Auflistung der durchgeführten Tierversuche 156 Spiderschwein Pumpe Pumpe CDI ShuntSensor Blutfluss sensor CDI H/S Cuvette Blutpumpe Druck BGA Oxygenator Druck BGA Abbildung A.5: Schematische Darstellung des in den Tierversuchen genutzten apparativen Aufbaus Rückgabekanüle hm eka n üle n r tna CDI S hunt- Senso En tte uve Ox C H/S CDI yge na tor Dr uc km es s te lle r Senso S pO 2 Blutpumpe Blutf lu ssme ssu n g Abbildung A.6: Aufnahme aus dem Tierversuch vom 10.03.2011, mit Beschriftung der relevanten Komponenten Literaturverzeichnis [1] Norm DIN 25424 1981, 1990. Fehlerbaumanalyse [2] Norm ISO 11898 Dezember 2003. Straßenfahrzeuge - CAN-Protokoll [3] Norm ISO 11898-4 August 2004. Straßenfahrzeuge - CAN-Protokoll - Teil 4: Zeitgesteuerte Kommunikation [4] Norm DIN EN 60812 November 2006. Analysetechniken für die Funktionsfähigkeit von Systemen – Verfahren für die Fehlzustandsart- und -auswirkungsanalyse (FMEA) [5] Norm DIN EN 61078 Oktober 2006. Techniken für die Analyse der Zuverlässigkeit - Zuverlässigkeitsblockdiagramm und Boole’sche Verfahren [6] Norm DIN EN 61025 August 2007. Fehlzustandsbaumanalyse [7] Norm DIN EN 60601 Juli 2007. Medizinische elektrische Geräte [8] Norm DIN EN 50325 September 2009. Industrielles Kommunikationssubsystem basierend auf ISO 11898 (CAN) [9] Norm DIN EN ISO 14971 Oktober 2009. Medizinprodukte – Anwendung des Risikomanagements auf Medizinprodukte [10] Norm DIN EN 61508 Februar 2011. Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme [11] Abel, D. ; Bollig, A. : Rapid Control Prototyping. Springer, 2006. – 400 S. [12] Adair, G. S.: the hemoglobin system: VI. the oxygen dissociation curve of hemoglobin. In: Journal of Biological Chemistry 63 (1925), Nr. 2, S. 529–545 [13] Allen, J. ; Fisher, A. C. ; Gaylor, J. D. ; Razieh, A. R.: Development of a digital adaptive control system for pO2 regulation in a membrane oxygenator. In: J Biomed Eng 14 (1992), Sep, Nr. 5, S. 404–411 [14] Arick, S. : CDI 100 Hemoglobin - Measured or Calculated? / Terumo. 1992 (1-012). – Technical Bulletin [15] Ashbaugh, D. G. ; Bigelow, D. B. ; Petty, T. L. ; Levine, B. E.: Acute respiratory distress in adults. In: The Lancet 2 (1967), August, Nr. 7511, S. 319–323 159 Literaturverzeichnis [16] Baumgartner, B. ; Mendoza, A. ; Schreiber, U. ; Eichhorn, S. ; Krane, M. ; Bauernschmitt, R. ; Knoll, A. : A simple fuzzy controller for an extra-corporeal circulation system - limitations and potentials. In: Russian-Bavarian Conference on Bio-Medical Engineering 2009. München, Juli 2009 [17] Baumgartner, B. ; Mendoza, A. ; Schreiber, U. ; Eichhorn, S. ; Krane, M. ; Bauernschmitt, R. ; Knoll, A. : A 4-Layer Supervising Unit for Extra-Corporal Circulation. In: Bioinformatics and Biomedical Engineering (iCBBE), 2010 4th International Conference on, 2010, S. 1–4 [18] Bein, T. ; Prasser, C. ; Philipp, A. ; Müller, T. ; Weber, F. ; Schlitt, H. J. ; Schmid, F.-X. ; Taeger, K. ; Birnbaum, D. : Pumpless extracorporeal lung assist using arterio-venous shunt in severe ARDS. Experience with 30 cases. In: Anaesthesist 53 (2004), Sep, Nr. 9, S. 813–819 [19] Bernard, G. R. ; Artigas, A. ; Brigham, K. L. ; Carlet, J. ; Falke, K. ; Hudson, L. ; Lamy, M. ; Legall, J. R. ; Morris, A. ; Spragg, R. : The AmericanEuropean Consensus Conference on ARDS. Definitions, mechanisms, relevant outcomes, and clinical trial coordination. In: American Journal of Respiratory and Critical Care Medicine 149 (1994), März, Nr. 3, S. 818–824 [20] Bersten, A. D. ; Edibam, C. ; Hunt, T. ; Moran, J. ; Australian and New Zealand Intensive Care Society Clinical Trials Group: Incidence and Mortality of Acute Lung Injury and the Acute Respiratory Distress Syndrome in Three Australian States. In: American Journal of Respiratory and Critical Care Medicine 165 (2002), Juni, Nr. 4, S. 443–448 [21] Black, D. L. ; Golub, D. B. ; Julin, D. P. ; Rashid, R. F. ; Draves, R. P. ; Dean, R. W. ; Forin, A. ; Barrera, J. ; Tokuda, H. ; Malan, G. ; Bohman, D. : Microkernel operating system architecture and mach. In: Journal of information processing 14 (1992), März, Nr. 4, S. 442–453 [22] Brandes, R. ; Busse, R. : Kreislauf. In: Schmidt, R. F. (Hrsg.) ; Lang, F. (Hrsg.) ; Heckmann, M. (Hrsg.): Physiologie des Menschen Bd. 31. Springer Medizin, 573-626. – Heidelberg [23] Breuer, H.-W. M. ; Groeben, H. ; Breuer, J. ; Worth, H. : Oxygen saturation calculation procedures - a critical analysis of six equations for the determination of oxygen saturation. In: Intensive Care Medicine 15 (1989), S. 385–389 [24] Broster, I. ; Burns, A. : The Babbling Idiot in Event-triggered Real-time Systems. In: Fohler, G. (Hrsg.) ; IEEE (Veranst.): Real-Time Systems Symposium IEEE, 2001, S. 25–28 [25] Broy, M. ; Steinbrüggen, R. : Modellbildung in der Informatik. Bd. 1. Berlin : Springer, 2004. – 256 S. 160 Literaturverzeichnis [26] Buja, G. ; Pimentel, J. R. ; Zuccollo, A. : Overcoming Babbling-Idiot Failures in CAN Networks: A Simple and Effective Bus Guardian Solution for the FlexCAN Architecture. In: IEEE Trans. Industrial Informatics 3 (2007), Nr. 3, S. 225–233 [27] Cattaneo, G. ; Strauss, A. ; Reul, H. : Compact intra- and extracorporeal oxygenator developments. In: Perfusion 19 (2004), Jul, Nr. 4, S. 251–255 [28] Cattaneo, G. F. M.: Entwicklung eines hochintegrierten intravaskulären Membranoxygenators für die Behandlung des akuten Lungenversagens, Fakultät für Maschinenwesen der RWTH Aachen, Diss., August 2006 [29] Chen, C. ; Song, I.-Y. ; Zhu, W. : Trends in Conceptual Modeling: Citation Analysis of the ER Conference Papers (1979-2005). In: Torres-Salinas, D. (Hrsg.) ; Moed, H. F. (Hrsg.): 11th Int. Conf. on the International Society for Scientometrics and Informatrics CSIC. Madrid, Spain, June 2007, 189-200 [30] Chen, P. P.-S. : The Entity-Relationship Model – Toward a Unified View of Data. In: ACM Transactions on Database Systems 1 (1976), March, Nr. 1, S. 9–36 [31] Chen, P. P.-S. : Entity-Relationship Modeling: Historical Events, Future Trends, and Lessons Learned. In: Broy, M. (Hrsg.) ; Denert, E. (Hrsg.): Software Pioneers, Springer, 296-310 [32] Clements, D. ; Primmer, J. ; Ryman, P. ; Marr, B. ; Searles, B. ; Darling, E. : Measurements of recirculation during neonatal veno-venous extracorporeal membrane oxygenation: clinical application of the ultrasound dilution technique. In: J Extra Corpor Technol 40 (2008), Sep, Nr. 3, S. 184–187 [33] Cooper, J. B. ; Trqueti, V. R.: A brief history of the development of mannequin simulators for clinical education and training. In: Postgraduate Medical Journal Bd. 84, 563-570 [34] Darling, E. M. ; Crowell, T. ; Searles, B. E.: Use of dilutional ultrasound monitoring to detect changes in recirculation during venovenous extracorporeal membrane oxygenation in swine. In: ASAIO J 52 (2006), Nr. 5, S. 522–524 [35] De Bartolo, C. ; Nigro, A. ; Fragomeni, G. ; Colacino, F. M. ; Wang, D. ; Jones, C. C. ; Zwischenberger, J. : Numerical and experimental flow analysis of the Wang-Zwische double-lumen cannula. In: ASAIO J 57 (2011), Nr. 4, S. 318–327 [36] Deussen, A. ; Bassingthwaighte, J. B.: Modeling Oxygen tracer data for estimating oxygen consumption. In: Am J Physiol 270 (1996), März, Nr. 3 Pt 2, S. H1115–H1130 [37] Di Sirio, G. : ChibiOS/RT. http://www.chibios.org. Version: 2012 161 Literaturverzeichnis [38] Di Sirio, G. : ChibiOS/RT Documentation, 2012. http://chibios.sourceforge. net/html/index.html ChibiOS/RT General Architecture. Version: 2012. [39] Di Sirio, G. : http://www.chibios.org/dokuwiki/doku.php?id=chibios:documents: architecture. – Benchmark [40] Di Sirio, G. : ChibiOS/RT Performance Data. Version: 2012. http://www. chibios.org/dokuwiki/doku.php?id=chibios:metrics. – Benchmark [41] Donohoe, P. : Software Architecture. Bd. 12. Netherland : Springer, 1999 [42] dSPACE: Measuring Execution Times of Blocks and Subsystems / dSPACE GmbH. Version: April 2011. www.dspace.com/shared/support/faqpdf/faq023. pdf? Paderborn, Germany, April 2011 (023). – Forschungsbericht. – abgerufen am 12.08.2013 [43] dSPACE: Measuring Execution Times with the dSPACE Profiler / dSPACE GmbH. Version: Oktober 2012. www.dspace.com/shared/support/faqpdf/faq292.pdf. Paderborn, Germany, Oktober 2012 (292). – Forschungsbericht. – abgerufen am 12.08.2013 [44] Eash, H. J. ; Jones, H. M. ; Hattler, B. G. ; Federspiel, W. J.: Evaluation of plasma resistant hollow fiber membranes for artificial lungs. In: ASAIO J 50 (2004), Nr. 5, S. 491–497 [45] ECMO Registry of the Extracorporeal Life Support Organization (ELSO): ECLS Registry Report. International Summary. online. http://www. elsonet.org/. Version: Januar 2013 [46] Edwards Critical-Care Division: Vigilance Operator’s Manual. Edwards Lifescience [47] Eisenbeis, A. M.: Beatmung mit niedrigen Tidal-Volumina verbessert die zerebrale Gewebeoxygenierung im experimentellen Tiermodell des akuten Lungenversagens, Medizinische Fakultät der RWTH Aachen, Diss., 2009 [48] Esteban, A. ; Anzueto, A. ; Frutos, F. ; Alía, I. ; Brochard, L. ; Stewart, T. E. ; Benito, S. ; Epstein, S. K. ; Apezteguía, C. ; Nightingale, P. ; Arroliga, A. C. ; Tobin, M. J. ; Mechanical Ventilation International Study Group: Characteristics and Outcomes in Adult Patients Receiving Mechanical Ventilation A 28-Day International Study. In: Journal of the American Medical Association 287 (2002), Jannuar, Nr. 3, S. 345–335 [49] Feindt, P. ; Benk, C. ; Boeken, U. ; Bauer, A. ; Mehlhorn, U. ; Gehron, J. ; Markewitz, A. ; Beckmann, A. ; Beyersdorf, F. : Einsatz einer extrakorporalen Zirkulation außerhalb eines herzchirurgischen Operationssaals. In: Kardiotechnik 19 (2010), Nr. 3, S. 58–60 162 Literaturverzeichnis [50] Fick, A. : Ueber die Messung des Blutquantums in den Herzventrikeln. In: Redactions-Commission der Physikal.-Medicin. Gesellschaft (Hrsg.) ; Physikal.-Medicin. Gesellschaft in Würzburg (Veranst.): Verhandlungen der physikal.-medicin. Gesellschaft in Würzburg. Würzburg : Stahel’sche Buch- und Kunsthandlung, Juli 1870, S. XVI [51] Frederick National Laboratory for Cancer Research – Electron Microscopy Laboratory: Scanning Electron Microscope image of blood. EML Image Gallery. http://ncifrederick.cancer.gov/atp/cms/wp-content/ uploads/2010/11/Blood-SEM.gif. Version: Dezember 2010 [52] Gage, K. L. ; Gartner, M. J. ; Burgreen, G. W. ; Wagner, W. R.: Predicting membrane oxygenator pressure drop using computational fluid dynamics. In: Artif Organs 26 (2002), Jul, Nr. 7, S. 600–607 [53] Ganz, W. ; Donoso, R. ; Marcus, H. S. ; Forrester, J. S. ; Swan, H. J.: A new technique for measurement of cardiac output by thermodilution in man. In: Am J Cardiol 27 (1971), Apr, Nr. 4, S. 392–396 [54] Gattinoni, L. ; Tognoni, G. ; Pesenti, A. ; Taccone, P. ; Mascheroni, D. ; Labarta, V. ; Malacrida, R. ; Di Giulio, P. ; Fumagalli, R. ; Pelosi, P. ; Brazzi, L. ; Latini, R. ; Prone-Supine Study Group: Effect of Prone Positioning on the Survival of Patients with Acute Respiratory Failure. In: New England Journal of Medicine 345 (2001), August, S. 568–573 [55] Gibbon, J. H. J.: Application of a mechanical heart and lung apparatus to cardiac surgery. In: Minn Med 37 (1954), Mar, Nr. 3, S. 171–85 [56] Gisiger, P.-A. ; Rusidovski, D. : Bedeutung und Weiterentwicklung der transkutanen O2 und CO2 Messtechnik Interpretation and current development of the transcutaneous O2 and CO2 measurement. In: Biomedizinische Technik 55 (2010), Oktober, Nr. S1, S. 113–116 [57] Gray, H. : Anatomy of the Human Body. Philadelphia : Lea & Febiger, 1918 [58] Hahn, J.-M. : Checkliste Innere Medizin. Bd. 4. Stuttgart : Thieme, 2003. – 827 S. [59] Hartmann, M. ; Boehm, O. ; Koch, A. ; Loer, S. ; Zacharowski, K. : Das Gerinnungssystem während extrakorporaler Zirkulation. In: Kardiotechnik 14 (2005), Nr. 2, S. 43–48 [60] Hemila, M. R. ; Rowe, S. A. ; Boules, T. N. ; Miskulin, J. ; McGillicuddy, J. W. ; Schuerer, D. J. ; Haft, J. W. ; Swaniker, F. ; Arbabi, S. ; Hirschl, R. B. ; Bartlett, R. H.: Extracorporeal Life Support for Severe Acute Respiratory Distress Syndrome in Adults. In: Annals of Surgery 240 (2004), Nr. 4, S. 595–607 163 Literaturverzeichnis [61] Hewitt, T. j. ; Hattler, B. G. ; Federspiel, W. J.: A Mathematical Model of Gas Exchange in an Intravenous Membrane Oxygenator. In: Annals of Biomedical Engineering Bd. 26 Biomedical Engineering Society, Kluwer, 166-178 [62] Hexamer, M. ; Misgeld, B. ; Prenger-Berninghoff, A. ; Schütt, U. ; Knobl, H. ; Körfer, R. ; Werner, J. : Automatic Control of the Extra-Corporal Bypass: System Analysis, Modelling and Evaluation of Different Control Modes. In: Biomedizinische Technik 49 (2004), S. 316–321 [63] Hexamer, M. ; Werner, J. : A Mathematical Model for the Gas Transfer in an Oxygenator. In: Modelling and Control in Biomedical Systems 1 (2003), S. 409–414 [64] Hüfner, G. : Ueber die Quantität Sauerstoff, welche 1 Gramm Hämoglobin zu binden vermag. In: Zeitschrift für Physiologische Chemie 1 (1877), S. 317–329 [65] Hüfner, G. : Noch einmal die Frage nach der Sauerstoffcapacität des Blutfarbstoffs. In: Archiv für Physiologie 3/4 (1903), S. 217–224 [66] Hill, A. V.: The possible effects of the aggregation of the molecules of hæmoglobin on its dissociation curves. In: The Journal of Physiology 40 (1910), Januar, Nr. Suppl, S. iv–vii [67] Hill, E. P. ; Power, G. G. ; Longo, L. D.: A mathematical model of carbon dioxide transfer in the placenta and its interaction with oxygen. In: Am J Physiol 224 (1973), Feb, Nr. 2, S. 283–299 [68] Hill, E. P. ; Power, G. G. ; Longo, L. D.: Mathematical simulation of pulmonary O2 and CO2 exchange. In: Am J Physiol 224 (1973), Apr, Nr. 4, S. 904–917 [69] Hormes, M. : CFD basierte Modellbildung und Validierung des Gastransfers zur Analyse der Blutoxygenierung über Hohlfasermembranen, Fakultät für Maschinenwesen der RWTH Aachen, Diss., 2011 [70] Ichiba, S. ; Peek, G. J. ; Sosnowski, A. W. ; Brennan, K. J. ; Firmin, R. K.: Modifying a venovenous extracorporeal membrane oxygenation circuit to reduce recirculation. In: Ann Thorac Surg 69 (2000), Jan, Nr. 1, S. 298–299 [71] Imboden, D. M. ; Koch, S. : Systemanalyse: Einführung in die mathematische Modellierung natürlicher Systeme. Bd. 1. Berlin : Springer, 2003. – 255 S. [72] Isermann, R. : Mechatronische Systeme. Berlin : Springer, 2008 (2) [73] Jelkmann, W. : Atemgastransport. In: Schmidt, R. F. (Hrsg.) ; Lang, F. (Hrsg.) ; Heckmann, M. (Hrsg.): Physiologie des Menschen Bd. 31. Springer Medizin, 741-750. – Heidelberg [74] Jelkmann, W. : Blut. In: Schmidt, R. F. (Hrsg.) ; Lang, F. (Hrsg.) ; Heckmann, M. (Hrsg.): Physiologie des Menschen Bd. 31. Springer Medizin, 477-502. – Heidelberg 164 Literaturverzeichnis [75] Jetley, R. ; Iyer, S. P. ; Jones, P. L.: A formal methods approach to medical device review. In: Computer 39 (2006), Nr. 4, S. 61–67 [76] Johnston, B. M. ; Johnston, P. R. ; Corney, S. ; Kilpatrick, D. : NonNewtonian blood flow in human right coronary arteries: Transient simulations. In: Journal of Biomechanics 39 (2006), Nr. 6, S. 1116 – 1128 [77] Kammerer, T. ; Fuchs, A. ; Mendonca, M. ; Däbritz, S. H. ; KozlikFeldmann, R. : Extrakorporale Membranoxygenierung (ECMO) als kardiales Unterstützungssystem in der Pädiatrie. In: AINS - Anästhesiologie · Intensivmedizin · Notfallmedizin · Schmerztherapie 38 (2003), S. 514–521 [78] Kashefi-Khorasani, A. A.: Untersuchungen zu Stofftransport und Fluiddynamik bei extrakorporalen Membranoxygenatoren, Fakultät fur Maschinenwesen der RWTH Aachen, Diss., 2005 [79] Kelman, G. R.: Digital computer subroutine for the conversion of oxygen tension into saturation. In: J. Appl. Physiol. 21 (1966), S. 1375–1376 [80] Kim, C. ; Sun, M. ; Mohan, S. ; Yun, H. ; Sha, L. ; Abdelzaher, T. F.: A framework for the safe interoperability of medical devices in the presence of network failures. In: Proceedings of the 1st ACM/IEEE International Conference on Cyber-Physical Systems. New York, NY, USA : ACM, 2010 (ICCPS ’10), S. 149–158 [81] King, A. ; Arney, D. ; Lee, I. ; Sokolsky, O. ; Hatcliff, J. ; Proctor, S. : Prototyping Closed Loop Physiologic Control with the Medical Device Coordination Framework. In: Software Engineering in Health Care (SEHC), ACM, Mai 2010, S. 1–11 [82] Kinsmann, J. ; Moore, J. ; Hamilton, W. : Studies on the circulation. Injection method: physical and mathematical considerations. In: Am J Physiol Bd. 89, 1929, S. 322–330 [83] Kirklin, J. K. ; Westaby, S. ; Blackstone, E. H. ; Kirklin, J. W. ; Chenoweth, D. E. ; Pacifico, A. D.: Complement and the damaging effects of cardiopulmonary bypass. In: J Thorac Cardiovasc Surg 86 (1983), Dec, Nr. 6, S. 845–857 [84] Klinke, R. ; Papa, H.-C. ; Kurtz, A. ; Silbernagl, S. : Physiologie. Bd. 6. deutsch. Stuttgart : Thieme, 2010. – 942 S. [85] Knierbein, B. ; Reul, H. ; Eilers, R. ; Lange, M. ; Kaufmann, R. ; Rau, G. : Compact mock loops of the systemic and pulmonary circulation for blood pump testing. In: Int. J. of Artificial Organs 15 (1992), Nr. 1, S. 40–48 [86] Koch, D. : Modellierung und Regelung der Medos DP1 Blutpumpe, Lehrstuhl für medizinische Informationstechnik, RWTH Aachen, Studienarbeit, 2010 165 Literaturverzeichnis [87] Kopp, R. ; Bensberg, R. ; Wardeh, M. ; Rossaint, R. ; Kuhlen, R. ; Henzler, D. : Pumpless arterio-venous extracorporeal lung assist compared with veno-venous extracorporeal membrane oxygenation during experimental lung injury. In: Br J Anaesth 108 (2012), May, Nr. 5, S. 745–753 [88] Kopp, R. ; Kuhlen, R. ; Max, M. ; Rossaint, R. : Evidenzbasierte Medizin des akuten Lungenversagens. In: Der Anaesthesist 52 (2003), S. 195–203 [89] Kopp, R. ; Henzler, D. ; Dembinski, R. ; Kuhlen, R. : Extrakorporale Membranoxygenierung beim akuten Lungenversagen. In: Der Anaesthesist Bd. 53, Springer (2004 2), 168-174 [90] Kopp, R. ; Leonhardt, S. ; Kowalewski, S. : Extracorporeal Membrane Oxygenation for Cardiac and Pulmonary Indications: How to Increase Patient Safety? In: Vincent, J.-L. (Hrsg.): Yearbook of Intensive Care and Emergency Medicine Bd. 1, Springer Berlin Heidelberg, 2009, S. 341–349 [91] Kosaka, R. ; Maruyama, O. ; Nishida, M. ; Yada, T. ; Saito, S. ; Hirai, S. ; Yamane, T. : Improvement of hemocompatibility in centrifugal blood pump with hydrodynamic bearings and semi-open impeller: in vitro evaluation. In: Artif Organs 33 (2009), Oct, Nr. 10, S. 798–804 [92] Kunzelmann, K. ; Thews, O. : Lungenatmung. In: Schmidt, R. F. (Hrsg.) ; Lang, F. (Hrsg.) ; Heckmann, M. (Hrsg.): Physiologie des Menschen Bd. 31. Springer Medizin, 697-723. – Heidelberg [93] Lachmann, B. ; Robertson, B. ; Vogel, J. : In-vivo lung lavage as an experimental model of the respiratory distress syndrome. In: Acta Anaesthesiol Scand 24 (1980), Jun, Nr. 3, S. 231–236 [94] Lassen, H. : A preliminary report on the 1952 epidemic of poliomyelitis in Copenhagen with special reference to the treatment of acute respiratory insufficiency. In: The Lancet 261 (1953), Januar, Nr. 6749, S. 37–41 [95] Lauterbach, G. ; Aebert, H. ; Deutsche Gesellschaft für Kardiologie: Handbuch der Kardiotechnik. München : Urban & Fischer, 2002 [96] Lawson, D. S. ; Ing, R. ; Cheifetz, I. M. ; Walczak, R. ; Craig, D. ; Schulman, S. ; Kern, F. ; Shearer, I. R. ; Lodge, A. ; Jaggers, J. : Hemolytic characteristics of three commercially available centrifugal blood pumps. In: Pediatr Crit Care Med 6 (2005), Sep, Nr. 5, S. 573–577 [97] Leigh, J. R.: Control Theory. 2. London : The Institution of Engineering and Technology, 2004. – 297 S. [98] Liebold, A. ; Philipp, A. ; Kaiser, M. ; Merk, J. ; Schmid, F. X. ; Birnbaum, D. E.: Pumpless extracorporeal lung assist using an arterio-venous shunt. 166 Literaturverzeichnis Applications and limitations. In: Minerva Anestesiol 68 (2002), May, Nr. 5, S. 387–391 [99] Lin, T.-Y. ; Horng, F.-M. ; Chiu, K.-M. ; Chu, S.-H. ; Shieh, J.-S. : A simple modification of inflow cannula to reduce recirculation of venovenous extracorporeal membrane oxygenation. In: J Thorac Cardiovasc Surg 138 (2009), Aug, Nr. 2, S. 503–506 [100] Lindstrom, S. J. ; Mennen, M. T. ; Rosenfeldt, F. L. ; Salmonsen, R. F.: Veno-right ventricular cannulation reduces recirculation in extracorporeal membrane oxygenation. In: Perfusion 27 (2012), Nov, Nr. 6, S. 464–469 [101] Locker, G. J. ; Losert, H. ; Schellongowski, P. ; Thalhammer, F. ; Knapp, S. ; Laczika, K. F. ; Burgmann, H. ; Staudinger, T. ; Frass, M. ; Muhm, M. : Bedside exclusion of clinically significant recirculation volume during venovenous ECMO using conventional blood gas analyses. In: J Clin Anesth 15 (2003), Sep, Nr. 6, S. 441–445 [102] Lorenz, J. : Akuter Lungenschaden und akutes Atemnotsyndrom (ARDS). In: Weilemann, L. S. (Hrsg.) ; Lorenz, J. (Hrsg.) ; Voigtländer, T. (Hrsg.): Internistische Intensivmedizin und Notfallmedizin Bd. 2, Springer, 2011, S. 283–294 [103] Luce, J. M.: Acute lung injury and the acute respiratory distress syndrome. In: Critical Care Medicine 26 (1998), Februar, Nr. 2, S. 369–376 [104] Luhr, O. R. ; Antonsen, K. ; Karlsson, M. ; Aardal, S. ; Thorsteinsson, A. ; Frostell, C. G. ; Bonde, J. ; the ARF Study Group: Incidence and Mortality after Acute Respiratory Failure and Acute Respiratory Distress Syndrome in Sweden, Denmark, and Iceland. In: American Journal of Respiratory and Critical Care Medicine 159 (1999), Juni, Nr. 6, S. 1849–1861 [105] Lunze, J. : Regelungstechnik 1 – Systemtheoretische Grundlagen, Analyse und Entwurf einschleifiger Regelungen. Bd. 9. Berlin : Springer Vieweg, 2013. – 738 S. [106] Lunze, J. : Regelungstechnik 2 – Mehrgrößensysteme, Digitale Regelung. Bd. 7. Berlin : Springer Vieweg, 2013. – 687 S. [107] Madershahian, N. ; Wippermann, J. ; Wittwer, T. ; Strauch, J. ; Choi, Y.-H. ; Liebing, K. ; Kaluza, M. ; Wahlers, T. : Veno-arterielle ECMO zur Therapie des therapierefraktären ARDS bei adultem Polytrauma. In: Kardiotechnik 16 (2007), Nr. 4, S. 98–101 [108] Maxon Motor Control (Hrsg.): Bedienungsanleitung 4-Q-EC Verstärker DECV 50/5. Sachseln, Schweiz: Maxon Motor Control, Juni 2009. – Dok. Nr. 763136-05 [109] Medos Medizintechnik AG (Hrsg.): hilite® 7000 LT/ hilite® 7000-Serie Gebrauchsanweisung. Stolberg, D: Medos Medizintechnik AG 167 Literaturverzeichnis [110] Medos Medizintechnik AG (Hrsg.): MEDOS DELTASTREAM Blood Pump System. Stolberg, D: Medos Medizintechnik AG, August 2009 [111] Medos Medizintechnik AG (Hrsg.): Medos Hilite® Oxygenation Systems for Adults, Paediatrics and Infants. Stolberg, D: Medos Medizintechnik AG, August 2009 [112] Medos Medizintechnik AG (Hrsg.): hilite® Oxygenatoren und Reservoire. Stolberg, D: Medos Medizintechnik AG, Oktober 2011 [113] Meinhardt, J. P. ; Quintel, M. : Extrakorporale Membranoxygenierung (ECMO) im Erwachsenenalter. In: Intensivmedizin 39 (2002), S. 694–706 [114] Mendoza, A. ; Rodriguez, M. ; Baumgartner, B. ; Schreiber, U. ; Knoll, A. : Embedded platform for automation of medical devices. In: Computing in Cardiology 38 (2011), S. 829–832 [115] Mendoza, A. ; Sprunk, N. ; Baumgartner, B. ; Knoll, A. ; Schreiber, U. ; Eichhorn, S. ; Krane, M. ; Lange, R. : Application of adaptive fuzzy controllers for the automation of medical devices. In: Fuzzy Systems (FUZZ-IEEE), 2012 IEEE International Conference on, 2012, S. 1–5 [116] Meyns, B. ; Vercaemst, L. ; Vandezande, E. ; Bollen, H. ; Vlasselaers, D. : Plasma leakage of oxygenators in ECMO depends on the type of oxygenator and on patient variables. In: Int J Artif Organs 28 (2005), Jan, Nr. 1, S. 30–34 [117] Meyrowitz, G. ; Schmidt, T. ; Naujokat, E. ; Albers, J. ; Kiencke, U. ; Vahl, C. F. ; Hagl, S. : Mehrgrößenregelungssysteme für die extrakorporale Zirkulation. In: Biomedizinische Technik 47 (2002), Nr. 1, S. 915–918 [118] Misgeld, B. J. E.: Automatic Control of the Heart-Lung Machine, Fakultät für Elektrotechnik und Informationstechnik der Ruhr-Universität Bochum, Diss., 2006 [119] Montenegro, S. : Sichere und fehlertolerante Steuerungen: Entwicklung sicherheitsrelevanter Systeme. München, Wien : Carl Hanser Verlag, 1999 [120] Muller, T. ; Philipp, A. ; Luchner, A. ; Karagiannidis, C. ; Bein, T. ; Hilker, M. ; Rupprecht, L. ; Langgartner, J. ; Zimmermann, M. ; Arlt, M. ; Wenger, J. ; Schmid, C. ; Riegger, G. ; Pfeifer, M. ; Lubnow, M. : A new miniaturized system for extracorporeal membrane oxygenation in adult respiratory failure. In: Critical Care 13 (2009), Nr. 6, S. R205 [121] Neitzel, T. ; Stiller, M. ; Bushnaq, H. ; Silber, R.-E. ; Friedrich, I. : Extracorporeal Live Support (ECLS) bei akutem kardiogenen Schock. In: Kardiotechnik 18 (2009), Nr. 3, S. 77–80 168 Literaturverzeichnis [122] Neudel, F. : Erfassung der Hämolyse mittels optischer Reflexionsspektroskopie, Fakultät für Elektrotechnik und Informationstechnik der RWTH Aachen University, Diss., 2002 [123] Nosé, Y. : Manual on artigicial organs. Bd. 2: The Oxygenator. Saint Louis : C. V. Mosby Company, 1973 [124] Parnas, D. L. ; Clements, P. C. ; Weiss, D. M.: The Modular Structure of Complex Systems. In: IEEE Trans. Software Eng. 11 (1985), Nr. 3, S. 259–266 [125] Parnas, D. L.: Designing Software for Ease of Extension and Contraction. In: ICSE, 1978, S. 264–277 [126] Pearson, G. D. ; Lou Short, B. : An Economic Analysis of Extracorporeal Membrane Oxygenation. In: Journal of Intensive Care Medicine 2 (1987), März, Nr. 2, S. 116–120 [127] Pecht, M. : Product reliability, maintainability, and supportability handbook. Bd. 2. CRC, 2009 [128] Peek, G. J. ; Elbourne, D. ; Mugford, M. ; Tiruvoipati, R. ; Wilson, A. ; Allen, E. ; Clemens, F. ; Firmin, R. ; Hardy, P. ; Hibbert, C. ; Jones, N. ; Killer, H. ; Thalanany, M. ; Truesdale, A. : Randomised controlled trial and parallel economic evaluation of conventional ventilatory support versus extracorporeal membrane oxygenation for severe adult respiratory failure (CESAR) / Health Technol Assess. 2010 (35). – Forschungsbericht [129] Peek, G. J. ; Mugford, M. ; Tiruvoipati, R. ; Wilson, A. ; Allen, E. ; Thalanany, M. M. ; Hibbert, C. L. ; Truesdale, A. ; Clemens, F. ; Cooper, N. ; Firmin, R. K. ; Elbourne, D. ; CESAR trial collaboration: Efficacy and economic assessment of conventional ventilatory support versus extracorporeal membrane oxygenation for severe adult respiratory failure (CESAR). In: The Lancet 347 (2009), September, S. 1351–1363 [130] Philipp, A. ; Foltan, M. ; Schettler, F. ; Gietl, M. ; Thrum, A. ; Schmidt, S. ; Holzamer, A. ; Müller, T. ; Bein, T. ; Lehle, K. ; Schmid, C. : Langzeitfunktion von Oxygenatoren bei extra korporaler Lungenunterstützung. In: Kardiotechnik 18 (2009), Februar, Nr. 1, S. 3–7 [131] Popel, A. S.: Theory of oxygen transport to tissue. In: Crit Rev Biomed Eng 17 (1989), Nr. 3, S. 257–321 [132] Pschyrembel, W. : Pschyrembel Klinisches Wörterbuch. Bd. 261. Berlin : Walter de Gruyter, 2007. – 2200 S. [133] Rais-Bahrami, K. ; Walton, D. M. ; Sell, J. E. ; Rivera, O. ; Mikesell, G. T. ; Short, B. L.: Improved oxygenation with reduced recirculation during 169 Literaturverzeichnis venovenous ECMO: comparison of two catheters. In: Perfusion 17 (2002), Nov, Nr. 6, S. 415–419 [134] Ranieri, V. M. ; Rubenfeld, G. D. ; Thompson, B. T. ; Ferguson, N. D. ; Caldwell, E. ; Fan, E. ; Camporota, L. ; Slutsky, A. S.: Acute Respiratory Distress Syndrome – The Berlin Definition. In: Journal of the American Medical Association 307 (2012), Juni, Nr. 23, S. 2526–2533 [135] Raïs-Bahrami, K. ; Rivera, O. ; Mikesell, G. T. ; Seale, W. R. ; Sell, J. E. ; Short, B. L.: Improved oxygenation with reduced recirculation during venovenous extracorporeal membrane oxygenation: evaluation of a test catheter. In: Crit Care Med 23 (1995), Oct, Nr. 10, S. 1722–1725 [136] Reuter, D. A. ; Huang, C. ; Edrich, T. ; Shernan, S. K. ; Eltzschig, H. K.: Cardiac output monitoring using indicator-dilution techniques: basics, limits, and perspectives. In: Anesth Analg 110 (2010), Mar, Nr. 3, S. 799–811 [137] Richter, D. W.: Atemregulation. In: Schmidt, R. F. (Hrsg.) ; Lang, F. (Hrsg.) ; Heckmann, M. (Hrsg.): Physiologie des Menschen Bd. 31. Heidelberg : Springer Medizin, 2011, S. 724 –739. – Heidelberg [138] Saake, G. ; Sattler, K.-U. : Algorithmen und Datenstrukturen. 4. Heidelberg : Dpunkt Verlag, 2010 [139] SafetyBUS p Club International e.V.: SafetyBUS p : der sichere Standard. Bd. 2. Vogel, Würzburg, 2004. – 48 S. [140] Salewski, F. ; Kowalewski, S. : Hardware platform design decisions in embedded systems. In: SIGBED Review 4 (2007), Nr. 1, S. 27–35 [141] Sander, R. : Compilation of Henry’s Law Constants for Inorganic and Organic Species of Potential Importance in Environmental Chemistry. online. http://www. henrys-law.org/. Version: April 1999 [142] Sander, R. : Modeling Atmospheric Chemistry: Interactions between Gas-Phase Species and Liquid Cloud/Aerosol Particles. In: Surveys in Geophysics 20 (1999), Janurary, Nr. 1, S. 1–31 [143] Sanders, G. L.: Data Modeling. Danvers, MA : Thomson Learning, 1994 [144] Santos, C. ; Ventura, A. ; Gomes, A. M. ; Pereira, S. ; Almeida, C. ; Seabra, J. ; Segelmark, M. ; Mattsson, L. ; Said, S. ; Olde, B. u. a.: Evaluation of a venours needle dislodgement method using Heart Pulses extracted from pressure Sensors in the extra-corporeal circuit. In: NDT Plus 4 (2011), Juni, Nr. suppl 2 [145] Schmidt, R. F. ; Lang, F. ; Heckmann, M. : Physiologie des Menschen: mit Pathophysiologie. 31. Heidelberg : Springer Medizin, 2011 170 Literaturverzeichnis [146] Schmidt, S. ; Philipp, A. ; Thrum, A. ; Gietl, M. ; Foltan, M. ; Arlt, M. ; Schmid, F.-X. ; Birnbaum, D. E.: Mikroblasenaktivität in miniaturisierten EKZ-Systemen. In: Kardiotechnik 16 (2007), Nr. 1, S. 8–12 [147] Schumacher, R. E. ; Roloff, D. W. ; Chapman, R. ; Snedecor, S. ; Bartlett, R. H.: Extracorporeal Membrane Oxygenation in Term Newborns: A Prospective Cost-Benefit Analysis. In: ASAIO Journal 39 (1993), Oktober, Nr. 4, S. 873–879 [148] Seghaye, M. C. ; Engelhardt, W. ; Grabitz, R. G. ; Faymonville, M. E. ; Hörnchen, H. ; Messmer, B. J. ; Bernuth, G. von: Multiple system organ failure after open heart surgery in infants and children. In: Thorac Cardiovasc Surg 41 (1993), Feb, Nr. 1, S. 49–53 [149] Seghaye, M. C. ; Grabitz, R. G. ; Duchateau, J. ; Busse, S. ; Däbritz, S. ; Koch, D. ; Alzen, G. ; Hörnchen, H. ; Messmer, B. J. ; Bernuth, G. von: Inflammatory reaction and capillary leak syndrome related to cardiopulmonary bypass in neonates undergoing cardiac operations. In: J Thorac Cardiovasc Surg 112 Issue 3 (1996), Sep, Nr. 3, S. 687–697 [150] Seidewitz, E. : What Models Mean. In: IEEE Softw. 20 (2003), Sept., Nr. 5, S. 26–32 [151] Sigurðsson, M. I. ; Sigvaldason, K. ; Gunnarsson, T. S. ; Moller, A. ; Sigurðsson, G. H.: Acute respiratory distress syndrome: nationwide changes in incidence, treatment and mortality over 23 years. In: Acta Anaesthesiologica Scandinavica 57 (2013), Januar, Nr. 1, S. 37–45 [152] Silbernagl, S. ; Despopoulos, A. : Taschenatlas Physiologie. Bd. 7. Stuttgart : Thieme, 2007. – 441 S. [153] Sreenan, C. ; Osiovich, H. ; Cheung, P. Y. ; Lemke, R. P.: Quantification of recirculation by thermodilution during venovenous extracorporeal membrane oxygenation. In: J Pediatr Surg 35 (2000), Oct, Nr. 10, S. 1411–1414 [154] Sörnmo, L. ; Sandberg, F. ; Gil, E. ; Solem, K. : Noninvasive techniques for prevention of intradialytic hypotension. In: IEEE Rev Biomed Eng 5 (2012), S. 45–59 [155] Stachowiak, H. : Allgemeine Modelltheorie. Wien : Springer, 1973 [156] Stewart, G. N.: Researches on the Circulation Time and on the Influences which affect it. In: J Physiol 22 (1897), Nov, Nr. 3, S. 159–183 [157] Strasse, S. ; Aisslinger, M. ; Seitz, S. ; Zahn, A. : Die 40 schönsten Stars. In: Playboy 7 (2012), S. 28–55. – ISSN 0939–8546 171 Literaturverzeichnis [158] Strauß, A. ; Cattaneo, G. ; Arens, J. ; Reul, H. ; Steinseifer, U. ; SchmitzRode, T. : Development of a Highly Integrated Extracorporeal Membrane Oxygenator with Rotary Blood Pump – Concept and Functionality. In: Biomedizinische Technik (BMT 2005). Nürnberg : VDE, September 2005 [159] Strauß, A. ; Reul, H. ; Steinseifer, U. ; Schmitz-Rode, T. : Entwicklung eines mobilen Membranoxygenationssystems (HEXMO) zur schonenden Therapie des akuten, schweren Lungenversagens (ARDS). In: Kardiotechnik 15 (2006), Nr. 3, S. 80–81 [160] Swan, H. J. ; Ganz, W. ; Forrester, J. ; Marcus, H. ; Diamond, G. ; Chonette, D. : Catheterization of the heart in man with use of a flow-directed balloon-tipped catheter. In: New England Journal of Medicine 283 (1970), August, Nr. 9, S. 447–451 [161] Terumo™ Cardiovascular Systems (Hrsg.): CDI™ Blood Parameter Monitoring System 500 – Technical Compendium. Ann Arbor, MI, USA: Terumo™ Cardiovascular Systems, 1999 [162] The MathWorks: Embedded Coder. 2012. – Forschungsbericht [163] Thums, A. : Formale Fehlerbaumanalyse, Fakultät für Angewandte Informatik der Universität Augsburg, Diss., Juni 2004 [164] Tietjen, T. ; Müller, D. H. ; 2 (Hrsg.): FMEA-Praxis. München, Wien : Carl Hanser Verlag, 2003 [165] Timms, D. ; Hayne, M. ; McNeil, K. ; Galbraith, A. : A Complete Mock Circulation Loop for the Evaluation of Left, Right, and Biventricular Assist Devices. In: Artificial Organs 29 (2005), July, Nr. 7, S. 564–572 [166] Transsonic Systems (Hrsg.): Non-Invasice Flow Measurement. Maastricht, NL: Transsonic Systems, 7 1999 [167] Van Litsenburg, R. ; De Mos, N. ; Edgell, D. ; Gruenwald, C. ; Bohn, D. J. ; Parshuram, C. S.: Resource use and health outcomes of paediatric extracorporeal membrane oxygenation. In: Archives of Disease in Childhood. Fetal and Neonatal 90 (2005), S. F176–F177 [168] Villar, J. ; Slutsky, A. S.: The Incidence of the Adult Respiratory Distress Syndrome. In: American Journal of Respiratory and Critical Care Medicine 140 (1989), September, Nr. 3, S. 814–816 [169] Villarreal, M. R.: Simplified diagram of the human Circulatory system in anterior view. online. http://en.wikipedia.org/wiki/File:Circulatory_System_ en.svg. Version: Mai 2009 172 Literaturverzeichnis [170] Volk, N. ; Klüß, C. : Klinische Studien von Medizinprodukten: Übersicht und Ausblick der aktuellen Gesetzgebung und Normen. In: Kardiotechnik 19 (2010), Nr. 1, S. 12–19 [171] von Segesser, L. : Prinzipien und Entwicklungsschritte der extrakorporalen Zirkulation. In: Ziemer, G. (Hrsg.) ; Haverich, A. (Hrsg.): Herzchirurgie – Die Eingriffe am Herzen und den herznahen Gefäßen Bd. 3, Springer, 74-107. – Berlin [172] Wang, J. H.: Application of CFD in the Designing of a membrane Oxygenator. In: Journal of Mechanics in Medicine and Biology 1 (2001), Nr. 1, S. 11–16 [173] Wartzek, T. : Modellbildung und Regelung eines extrakorporalen Membranoxygenators, Lehrstuhl für medizinische Informationstechnik, RWTH Aachen, Diplomarbeit, September 2008 [174] Zuberi, K. M. ; Shin, K. G.: Non-Preemptive Scheduling of Messages on Controller Area Network for Real-Time Control Applications. In: Real-Time Technology and Applications Symposium. Chicago, IL, Mai 1995, S. 240–249 173 Betreute Abschlussarbeiten [Becker(2012)] C. Becker. Development of an abstraction layer to deploy real-time data in model-based safety functions. Bachelorarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, November 2012. [Gathmann(2011)] F. Gathmann. Modellierung und Regelung des Blutflusses einer Diagonalpumpe bei der extrakorporalen Oxygenierung. Studienarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, Mai 2011. [Göbe(2010)] F. Göbe. Integration modellbasierter Sicherheitsmechanismen für die extrakorporale Lungenunterstützung in ein eingebettetes RTOS. Bachelorarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, September 2010. [Jongdee(2010)] C. Jongdee. RTOS for a Medical Application with MATLAB/Simulink on an ARM7 microcontroller. Masterarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, August 2010. [Jüptner(2012)] P. Jüptner. Entwicklung eines Versuchsaufbaus zur optischen Desinfektionsvalidierung. Diplomarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, August 2012. [Jörgens(2010)] J. Jörgens. Modellbasierte Diagnose eines Oxygenators für die Extrakorporale Membranoxygenierung. Diplomarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, Mai 2010. [Khan(2009)] Z. Khan. Fault Tolerant Protocol for Safety Critical Medical Application SmartECLA. Masterarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, August 2009. [Lang(2009)] M. U. Lang. Entwicklung eines dezentral implementierten Sicherheitskonzeptes für intensivmedizinische Anwendungen. Bachelorarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, September 2009. [Obster(2011)] M. Obster. Entwicklung eines Zeitsynchronisationsverfahrens für ein intensivmedizinisches, verteiltes System. Bachelorarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, April 2011. [Prochaska(2012)] L. Prochaska. Entwurf und Validierung einer auf den Wirkungsgrad optimierten Regelungsstrategie zur Ansteuerung eines piezoelektrischen Aktuators 175 Betreute Abschlussarbeiten für automobile Anwendungen. Diplomarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, Juli 2012. [Schüßler(2013)] M. Schüßler. Portierung einer Diagonalpumpensteuerung auf ein eingebettetes Betriebssystem mit Unterstützung modell-basierter Sicherheitsmaßnahmen. Studienarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, 2013. in Bearbeitung. [Sehl(2012)] F. Sehl. Integration von Hardwareabstraktion und Hardwareansteuerung im eingebetteten Echtzeitbetriebssystem ChibiOS. Bachelorarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, April 2012. [Yang(2009)] F. Yang. Entwicklung einer Metrik zur Bewertung verschiedener Hardwareplattformen für medizintechnische Anwendungen. Diplomarbeit, Lehrstuhl Informatik 11 – Software für eingebettete Systeme – RWTH Aachen, Juli 2009. 176 Eigene Publikationen [ADBM+ 10] Arens, Jutta ; De Brouwer, Petra ; Mager, Ilona ; Kopp, Rüdger ; Walter, Marian ; Stollenwerk, André ; Schmitz-Rode, Thomas ; Steinseifer, Ulrich: A dynamic study on the hemolytic effect of negative pressure on blood. In: ASAIO journal 56 (2010), Nr. 2, S. 96 [BBS+ 11] Brendle, Christian ; Bensberg, Ralf ; Stollenwerk, André ; Arens, Jutta ; Walter, Marian: Patient orientated automation of the therapy with the Extracorporeal Membrane Oxygenation (ECMO). In: 45. Jahrestagung der Deutschen Gesellschaft für Biomedizinische Technik, DGBMT, 2011 [BBSK11] Beckschulze, Eva ; Brauer, Jörg ; Stollenwerk, André ; Kowalewski, Stefan: Analyzing Embedded Systems Code for Mixed-Critical Systemsusing Hybrid Memory Representations. In: 14th IEEE Int Symposium on Object/Component/Service-Oriented Real-Time Distributed Computing ISORC 2011, IEEE, 2011, 33-40 [KBW+ 11] Kopp, Rüdger ; Bensberg, Ralf ; Walter, Marian ; Stollenwerk, André ; Arens, Jutta ; Rossaint, Rolf: Automation of extracorporeal membrane oxygenation using a combined safety and control concept. In: Intensive Care Medicine Bd. 37 ECSIM, Springer, Oktober 2011, S. 230 [KRS12] Kowalewski, Stefan ; Rumpe, Bernhard ; Stollenwerk, André: CyberPhysical Systems - eine Herausforderung an die Automatisierungstechnik? In: Wissensforum, VDI (Hrsg.): Automation 2012, VDI-Verlag, 2012 (VDI Berichte), 113-116 [KS11] Kowalewski, Stefan ; Stollenwerk, André: Supporting Evolving Requirements in CPS by AbstractionLayers in the Architecture. In: Workshop on Architectures for Cyber-Physical Systems,Chicago, IL, USA, 2011 [KWA+ 09] Kopp, Rüdger ; Walter, Marian ; Arens, Jutta ; Stollenwerk, André ; Leonhardt, Steffen ; Schmitz-Rode, Thomas ; Kowalewski, Stefan ; Rossaint, Rolf: Regelungs- und Sicherheitskonzepte für extrakorporale Systeme zur Lungenunterstützung / Automatic control and safety concepts for extracorporeal lung support. In: Biomedizinische Technik 54 (2009), Oktober, Nr. 5, S. 289–297 [LWW+ 09] Leonhardt, Steffen ; Walter, Marian ; Wartzek, Tobias ; Kashefi, Ali ; Stollenwerk, André ; Kopp, Rüdger: Regelung des Gasaustauschs 177 Eigene Publikationen für die extrakorporale Oxygenierung. In: Automation 2009, Baden-Baden, Germany Bd. 2067, VDI, Juni 2009, 281-284 [SDKS10] Stollenwerk, André ; Derks, Andreas ; Kowalewski, Stefan ; Salewski, Falk: A Modular, Robust and Open Source Microcontroller Platform for Broad Educational Usage. In: Workshop on Embedded Systems Education (WESE10), Scottsdale, AZ, USA Artist, ACM, Oktober 2010, S. 48–54 [SGA+ 11] Stollenwerk, André ; Gathmann, Felix ; Arens, Jutta ; Bensberg, Ralf ; Walter, Marian ; Kopp, Rüdger ; Kowalewski, Stefan: Safety Aware Pump-Control for a Rotary ECMO Blood Pump. In: Reis, Rui L. (Hrsg.): International Journal of Artificial Organs Bd. 34, Wichtig Editore, August 2011 (2011 8), 617 [SGB+ 11] Stollenwerk, André ; Gathmann, Felix ; Bensberg, Ralf ; Walter, Marian ; Arens, Jutta ; Kopp, Rüdger ; Kowalewski, Stefan: A modelbased safety concept for a rotary blood pump. In: 45. Jahrestagung der Deutschen Gesellschaft für Biomedizinische Technik, de Gruyter, 2011 [SGW+ 11] Stollenwerk, André ; Göbe, Florian ; Walter, Marian ; Wartzek, Tobias ; Kopp, Rüdger ; Arens, Jutta ; Kowalewski, Stefan: Smart Data Provisioning for Model-Based Generated Code in an Intensive Care Application. In: High Confidence Medical Devices, Software, and Systems & Medical Device Plug-and-Play Interoperability (HCMDSS/MDPnP 2011), Chicago, USA, 2011 [SJA+ 10] Stollenwerk, André ; Jörgens, Jörg ; Arens, Jutta ; Walter, Marian ; Kopp, Rüdger ; Kowalewski, Stefan: Model Based Diagnosis for Extracorporeal Membrane Oxygenation. In: The International Journal of Artificial Organs 33 (2010), September, Nr. 7, S. 447 [SJK09] Stollenwerk, André ; Jongdee, Chate ; Kowalewski, Stefan: An Undergraduate Embedded Software Laboratory for the Masses. In: Workshop on Embedded Systems Education (WESE09), Grenoble, France. New York, NY, USA : ACM, October 2009, S. 34–41 [SJW+ 10] Stollenwerk, André ; Jörgens, Jörg ; Walter, Marian ; Arens, Jutta ; Kopp, Rüdger ; Kowalewski, Stefan: Modelbasierte Fehlerdiagnose eines Membranoxygenators. In: Biomedizinische Technik (BMT2010) Bd. 55 VDE, de Gruyter, Oktober 2010, S. 174–177 [SL09] Stollenwerk, André ; Lang, Martin: Embedded Contributions to an Intensive Care Safety Concept. In: Artist Design Workshop on Embedded Systems in Healthcare. Eindhoven, NL, December 2009 178 Eigene Publikationen [SLW+ 10] Stollenwerk, André ; Lang, Martin ; Walter, Marian ; Arens, Jutta ; Kopp, Rüdger ; Kowalewski, Stefan: Sicherheitskonzept für eine intensivmedizinische Anwendungam Beispiel der ECMO. In: Entwurf komplexer Automatisierungssysteme (EKA 2010) Bd. 11 ifak, 2010, S. 65–74 [SSG+ 07] Stache, Nicolaj C. ; Stollenwerk, André ; Gedicke, Jens ; Olowinsky, Alexander ; Knepper, Achim ; Aach, Til: Automatic Calibration of a Scanner-Based Laser Welding System. In: International Congress on the Applications of Lasers and Electro-Optics (ICALEO), Orlando, Florida, USA, Laser Institute of America, Oktober 2007, 223-229 [SSG+ 09] Stache, Nicolaj C. ; Stollenwerk, André ; Gedicke, Jens ; Olowinsky, Alexander ; Knepper, Achim ; Aach, Til: Automatic Calibration of a Scanner-Based Laser Welding System. In: Journal of Laser Applications 21 (2009), Februar, Nr. 1, S. 10–15 [SWW+ 09] Stollenwerk, André ; Walter, Marian ; Wartzek, Tobias ; Kopp, Rüdger ; Arens, Jutta ; Kowalewski, Stefan: A Safety and Control Concept for Extrecorporeal Membrane Oxygenation. In: the international Journal of Artificial Organs 32 (2009), September, Nr. 7, S. 428 [WBA+ 11] Walter, Marian ; Brendle, Christian ; Arens, Jutta ; Stollenwerk, Andre ; ; Kopp, Rüdger ; Bensberg, Ralf ; Leonhardt, Steffen: Physiological target control in long term extracorporeal oxygenation. In: Reis, Rui L. (Hrsg.): International Journal of Artificial Organs Bd. 34, Wichtig Editore, August 2011 (2011 8), S. 625 [WBB+ 11] Walter, Marian ; Brendle, Christian ; Bensberg, Ralf ; Kopp, Rüdger ; Arens, Jutta ; Stollenwerk, André ; Leonhardt, Steffen: Closed loop physiological ECMO control. In: Jobbágy Ákos (Hrsg.): 5th European Conference of the International Federation for Medical and Biological Engineering Bd. 37. Budapest : Springer, September 2011 (IFMBE Proceedings), S. 319–322 [WBS+ 12] Walter, Marian ; Brendle, Christian ; Stollenwerk, André ; Kopp, Rüdger ; Arens, Jutta ; Bensberg, Ralf ; Leonhardt, Steffen: Patient oriented closed loop control of extracorporeal lung assist. In: International Conference on Complexity in Acute Illness, Society for Complexity in Acute Illness, 2012 [WSW+ 10] Walter, Marian ; Stollenwerk, André ; Wartzek, Tobias ; Arens, Jutta ; Kopp, Rüdger ; Leonhardt, Steffen: Automatisierung und Fehlerdiagnose bei der extrakorporalen Membranoxygenierung. In: at – Automatisierungstechnik 58 (2010), Mai, Nr. 5, S. 277–285 [WWK+ 09] Walter, Marian ; Wartzek, Tobias ; Kopp, Rüdger ; Stollenwerk, André ; Kashefi, Ali ; Leonhardt, Steffen: Automation of Long Term 179 Extracorporeal Oxygenation Systems. In: European Control Conference (ECC09), Budapest, Hungary European Union Control Association, 2009 [WWS+ 09] Wartzek, Tobias ; Walter, Marian ; Stollenwerk, André ; Kopp, Rüdger ; Kashefi, Ali ; Leonhardt, Steffen: Automatisierung der extrakorporalen Membranoxygenierung. In: 8. Workshop AUTOMED – Automatisierungstechnische Verfahren für die Medizin, Berlin, Germany Bd. 17, VDI-Verlag, März 2009, S. 25–26 [WWS+ 10] Walter, Marian ; Weyer, Sören ; Stollenwerk, André ; Kopp, Rüdger ; Arens, Jutta ; Leonhardt, Steffen: A Physiological Model for Extracorporeal Oxygenation Controller Design. In: 32nd Annual International Conference of the IEEE Engineering in Medicine and Biology Society (EMBC’10). Buenos Aires, Argentina, September 2010, S. 434–437 180 Aachener Informatik-Berichte This list contains all technical reports published during the past three years. A complete list of reports dating back to 1987 is available from: http://aib.informatik.rwth-aachen.de/ To obtain copies please consult the above URL or send your request to: Informatik-Bibliothek, RWTH Aachen, Ahornstr. 55, 52056 Aachen, Email: [email protected] 2010-01 2010-02 2010-03 2010-04 2010-05 2010-06 2010-07 2010-08 2010-09 2010-10 2010-11 2010-12 2010-13 2010-14 2010-15 2010-16 2010-17 2010-18 ∗ Fachgruppe Informatik: Jahresbericht 2010 Daniel Neider, Christof Löding: Learning Visibly One-Counter Automata in Polynomial Time Holger Krahn: MontiCore: Agile Entwicklung von domänenspezifischen Sprachen im Software-Engineering René Wörzberger: Management dynamischer Geschäftsprozesse auf Basis statischer Prozessmanagementsysteme Daniel Retkowitz: Softwareunterstützung für adaptive eHome-Systeme Taolue Chen, Tingting Han, Joost-Pieter Katoen, Alexandru Mereacre: Computing maximum reachability probabilities in Markovian timed automata George B. Mertzios: A New Intersection Model for Multitolerance Graphs, Hierarchy, and Efficient Algorithms Carsten Otto, Marc Brockschmidt, Christian von Essen, Jürgen Giesl: Automated Termination Analysis of Java Bytecode by Term Rewriting George B. Mertzios, Shmuel Zaks: The Structure of the Intersection of Tolerance and Cocomparability Graphs Peter Schneider-Kamp, Jürgen Giesl, Thomas Ströder, Alexander Serebrenik, René Thiemann: Automated Termination Analysis for Logic Programs with Cut Martin Zimmermann: Parametric LTL Games Thomas Ströder, Peter Schneider-Kamp, Jürgen Giesl: Dependency Triples for Improving Termination Analysis of Logic Programs with Cut Ashraf Armoush: Design Patterns for Safety-Critical Embedded Systems Michael Codish, Carsten Fuhs, Jürgen Giesl, Peter Schneider-Kamp: Lazy Abstraction for Size-Change Termination Marc Brockschmidt, Carsten Otto, Christian von Essen, Jürgen Giesl: Termination Graphs for Java Bytecode Christian Berger: Automating Acceptance Tests for Sensor- and Actuatorbased Systems on the Example of Autonomous Vehicles Hans Grönniger: Systemmodell-basierte Definition objektbasierter Modellierungssprachen mit semantischen Variationspunkten Ibrahim Armaç: Personalisierte eHomes: Mobilität, Privatsphäre und Sicherheit 181 2010-19 2010-20 2011-01 2011-02 2011-03 2011-04 2011-06 2011-07 2011-08 2011-09 2011-10 2011-11 2011-12 2011-13 2011-14 2011-16 2011-17 2011-18 2011-19 2011-24 2011-25 2011-26 2012-01 182 ∗ Felix Reidl: Experimental Evaluation of an Independent Set Algorithm Wladimir Fridman, Christof Löding, Martin Zimmermann: Degrees of Lookahead in Context-free Infinite Games Fachgruppe Informatik: Jahresbericht 2011 Marc Brockschmidt, Carsten Otto, Jürgen Giesl: Modular Termination Proofs of Recursive Java Bytecode Programs by Term Rewriting Lars Noschinski, Fabian Emmes, Jürgen Giesl: A Dependency Pair Framework for Innermost Complexity Analysis of Term Rewrite Systems Christina Jansen, Jonathan Heinen, Joost-Pieter Katoen, Thomas Noll: A Local Greibach Normal Form for Hyperedge Replacement Grammars Johannes Lotz, Klaus Leppkes, and Uwe Naumann: dco/c++ - Derivative Code by Overloading in C++ Shahar Maoz, Jan Oliver Ringert, Bernhard Rumpe: An Operational Semantics for Activity Diagrams using SMV Thomas Ströder, Fabian Emmes, Peter Schneider-Kamp, Jürgen Giesl, Carsten Fuhs: A Linear Operational Semantics for Termination and Complexity Analysis of ISO Prolog Markus Beckers, Johannes Lotz, Viktor Mosenkis, Uwe Naumann (Editors): Fifth SIAM Workshop on Combinatorial Scientific Computing Markus Beckers, Viktor Mosenkis, Michael Maier, Uwe Naumann: Adjoint Subgradient Calculation for McCormick Relaxations Nils Jansen, Erika Ábrahám, Jens Katelaan, Ralf Wimmer, Joost-Pieter Katoen, Bernd Becker: Hierarchical Counterexamples for Discrete-Time Markov Chains Ingo Felscher, Wolfgang Thomas: On Compositional Failure Detection in Structured Transition Systems Michael Förster, Uwe Naumann, Jean Utke: Toward Adjoint OpenMP Daniel Neider, Roman Rabinovich, Martin Zimmermann: Solving Muller Games via Safety Games Niloofar Safiran, Uwe Naumann: Toward Adjoint OpenFOAM Carsten Fuhs: SAT Encodings: From Constraint-Based Termination Analysis to Circuit Synthesis Kamal Barakat: Introducing Timers to pi-Calculus Marc Brockschmidt, Thomas Ströder, Carsten Otto, Jürgen Giesl: Automated Detection of Non-Termination and NullPointerExceptions for Java Bytecode Callum Corbett, Uwe Naumann, Alexander Mitsos: Demonstration of a Branch-and-Bound Algorithm for Global Optimization using McCormick Relaxations Callum Corbett, Michael Maier, Markus Beckers, Uwe Naumann, Amin Ghobeity, Alexander Mitsos: Compiler-Generated Subgradient Code for McCormick Relaxations Hongfei Fu: The Complexity of Deciding a Behavioural Pseudometric on Probabilistic Automata Fachgruppe Informatik: Annual Report 2012 2012-02 2012-03 2012-04 2012-05 2012-06 2012-07 2012-08 2012-09 2012-10 2012-12 2012-15 2012-16 2013-01 2013-02 2013-03 2013-04 2013-05 2013-06 2013-08 ∗ Thomas Heer: Controlling Development Processes Arne Haber, Jan Oliver Ringert, Bernhard Rumpe: MontiArc - Architectural Modeling of Interactive Distributed and Cyber-Physical Systems Marcus Gelderie: Strategy Machines and their Complexity Thomas Ströder, Fabian Emmes, Jürgen Giesl, Peter Schneider-Kamp, and Carsten Fuhs: Automated Complexity Analysis for Prolog by Term Rewriting Marc Brockschmidt, Richard Musiol, Carsten Otto, Jürgen Giesl: Automated Termination Proofs for Java Programs with Cyclic Data André Egners, Björn Marschollek, and Ulrike Meyer: Hackers in Your Pocket: A Survey of Smartphone Security Across Platforms Hongfei Fu: Computing Game Metrics on Markov Decision Processes Dennis Guck, Tingting Han, Joost-Pieter Katoen, and Martin R. Neuhäußer: Quantitative Timed Analysis of Interactive Markov Chains Uwe Naumann and Johannes Lotz: Algorithmic Differentiation of Numerical Methods: Tangent-Linear and Adjoint Direct Solvers for Systems of Linear Equations Jürgen Giesl, Thomas Ströder, Peter Schneider-Kamp, Fabian Emmes, and Carsten Fuhs: Symbolic Evaluation Graphs and Term Rewriting — A General Methodology for Analyzing Logic Programs Uwe Naumann, Johannes Lotz, Klaus Leppkes, and Markus Towara: Algorithmic Differentiation of Numerical Methods: Tangent-Linear and Adjoint Solvers for Systems of Nonlinear Equations Georg Neugebauer and Ulrike Meyer: SMC-MuSe: A Framework for Secure Multi-Party Computation on MultiSets Fachgruppe Informatik: Annual Report 2013 Michael Reke: Modellbasierte Entwicklung automobiler Steuerungssysteme in Klein- und mittelständischen Unternehmen Markus Towara and Uwe Naumann: A Discrete Adjoint Model for OpenFOAM Max Sagebaum, Nicolas R. Gauger, Uwe Naumann, Johannes Lotz, and Klaus Leppkes: Algorithmic Differentiation of a Complex C++ Code with Underlying Libraries Andreas Rausch and Marc Sihling: Software & Systems Engineering Essentials 2013 Marc Brockschmidt, Byron Cook, and Carsten Fuhs: Better termination proving through cooperation Sebastian Junges, Ulrich Loup, Florian Corzilius and Erika Ábrahám: On Gröbner Bases in the Context of Satisfiability-Modulo-Theories Solving over the Real Numbers These reports are only available as a printed version. Please contact [email protected] to obtain copies. ∗ 183